Glossaire
Empoisonnement LLMNR et NBT-NS
Attaque dans laquelle un hôte du réseau local répond aux résolutions de noms diffusées pour capturer l'authentification NetNTLM des clients Windows.
Lorsque le DNS ne parvient pas à résoudre un nom, Windows se replie sur des protocoles de diffusion : Link-Local Multicast Name Resolution (LLMNR), NetBIOS Name Service (NBT-NS) et, sur les versions récentes, mDNS. N'importe quelle machine du même segment peut répondre à ces diffusions. Un attaquant qui répond « c'est moi » reçoit la tentative de connexion du client, souvent accompagnée d'une authentification NetNTLMv2 qui peut être cassée hors ligne ou relayée vers un autre serveur.
La défense consiste à désactiver ces mécanismes de repli : désactiver LLMNR par stratégie de groupe, désactiver NetBIOS sur TCP/IP via DHCP ou les paramètres de la carte réseau, bloquer mDNS et maîtriser WPAD. Exiger la signature SMB et LDAP limite les cibles vers lesquelles une authentification capturée peut être relayée.
Voir Retirer LLMNR, NBT-NS, SMBv1 et NTLMv1 ; exiger la signature.