👌 Microsoft отключит NTLM

Продолжая систематическую работу по харденингу Windows (и одновременно внедряя туда спорные с точки зрения ИБ фичи 🤪), MS анонсировала поэтапный отказ от NTLM всех версий. Страница с объявлениями об устаревших функциях пополнилась информацией о том, что последними версиями, где NTLM будет активен, станут следующий релиз Windows и Windows Server.

Разработчикам рекомендовано заменить вызовы NTLM на вызовы Negotiate, которые по возможности проведут аутентификацию при помощи Kerberos, но при необходимости обратятся к NTLM в режиме совместимости. В большинстве приложений это требует отредактировать одну строчку — вызов AcquireCredentialsHandle.

Microsoft советует системным администраторам и ИБ-командам заблаговременно провести аудит инфраструктуры, чтобы понять масштаб и способы применения NTLM в инфраструктуре и своевременно перевести её на более современные методы аутентификации. Учитывая распространённость различных атак вроде pass the hash и NTLM relay, это решение очень давно назрело.

#новости #Microsoft #советы @П2Т

🗿 Exchange hardening, сезон 2025

Можно бесконечно смотреть на то, как горит огонь, течёт вода и атакующие эксплуатируют ошибки конфигурации Exchange. Но даже если положить конец этому безобразию невозможно, уменьшить его масштабы очень желательно.

Ощутимый вклад в это благое дело на днях внесли ИБ-регуляторы англоязычных стран, опубликовав пятнадцатистраничное руководство Microsoft Exchange Server Security Best Practices.

Документ разделён на два больших раздела — Prevention posture и Harden authentication and encryption.

В первом даны рекомендации по минимальному набору безопасных настроек со ссылками на ещё более подробные security baselines от CIS, DISA и Microsoft, адаптированные для конкретных версий Exchange. Также перечислены встроенные инструменты защиты и механизмы оперативного обновления, которые авторы рекомендуют активировать.

В разделе про харденинг, которому уделено две трети документа, рекомендованы более сложные настройки и изменения, значительно повышающие стойкость сервера к современным атакам:
🟢актуальные конфигурации TLS и переход на HSTS;
🟢активация extended protection (EP);
🟢переход с NTLM на Kerberos;
🟢внедрение OAuth2 и ADFS;
🟢подпись потоков данных PowerShell сертификатами;
🟢защита от CSRF с помощью загрузок вложений со специальных доменов (download domains);
🟢полноценное использование RBAC;
🟢детектирование поддельных заголовков P2 FROM.

Тем, кто продолжает пользоваться Exchange, стоит взять этот чеклист на вооружение.

#советы #Microsoft @П2Т