Glossaire
Relais NTLM
Attaque qui transfère en temps réel l'authentification NTLM d'une victime vers un autre serveur, pour s'authentifier à sa place sans connaître son mot de passe.
Dans une attaque par relais NTLM, un attaquant placé entre un client et un serveur (souvent après un empoisonnement LLMNR ou en contraignant une machine à s'authentifier) transfère l'échange défi-réponse NTLM vers une autre cible. Comme NTLM ne lie pas, par défaut, l'authentification à un serveur ou à un canal précis, la cible l'accepte et l'attaquant agit avec les droits de la victime. Relayer le compte machine d'un contrôleur de domaine vers l'inscription web d'AD CS ou vers LDAP peut aboutir à la compromission complète du domaine.
Les mesures d'atténuation consistent à exiger la signature SMB, la signature LDAP et la liaison de canal LDAP, à activer Extended Protection for Authentication sur les services web comme AD CS et Exchange, à ajouter les comptes privilégiés au groupe Protected Users et à réduire globalement l'usage de NTLM.
Voir Retirer LLMNR, NBT-NS, SMBv1 et NTLMv1 ; exiger la signature.