Attacchi relay NTLM: le nuove protezioni di Microsoft

Da quando Kerberos è diventato il protocollo di autenticazione predefinito di Windows nel 2000, Microsoft ha progressivamente cercato di ridurre l’utilizzo di NTLM, considerato meno sicuro e ormai obsoleto. In attesa della sua completa disabilitazione come impostazione predefinita, Microsoft sta introducendo nuove misure di sicurezza per contrastare gli attacchi relay NTLM e proteggere maggiormente gli ambienti Windows aziendali.

Cos’è un attacco relay NTLM?

NTLM è una suite di protocolli Microsoft utilizzata per autenticare utenti e computer attraverso un meccanismo basato su richiesta e risposta. Durante il processo di autenticazione, il client risponde alla sfida inviata dal server utilizzando l’hash della password dell’utente come chiave crittografica.

Gli attacchi relay NTLM sfruttano questo meccanismo per intercettare e inoltrare le richieste di autenticazione verso un altro servizio. In questo modo, un aggressore può utilizzare l’autenticazione NTLM senza dover necessariamente decifrare l’hash o conoscere la password dell’utente.

Tra i possibili vettori di attacco rientrano anche documenti Office ed email inviate tramite Outlook, soprattutto quando contengono link UNC in grado di provocare richieste di autenticazione verso risorse controllate dall’attaccante. Vulnerabilità come CVE-2024-21413, CVE-2023-23397 e CVE-2023-36563 hanno evidenziato ulteriormente i rischi associati all’utilizzo di NTLM.

Windows Server 2025 e protezione EPA

Con Windows Server 2025, Microsoft ha introdotto un importante miglioramento nella sicurezza dell’autenticazione. La Extended Protection for Authentication (EPA) e il channel binding per LDAP sono infatti attivati per impostazione predefinita, contribuendo a rendere più difficile lo sfruttamento degli attacchi relay.

La configurazione predefinita di EPA è impostata su “Abilitato – Quando supportato”. Questa modalità consente di mantenere una maggiore compatibilità con i client legacy che non supportano il channel binding. Negli ambienti in cui non è necessario garantire il supporto a sistemi meno recenti, Microsoft consiglia di utilizzare la configurazione “Abilitato – Sempre”, aumentando ulteriormente il livello di protezione.

Come proteggere Windows Server 2019 e 2022

Le aziende che utilizzano Windows Server 2019 o Windows Server 2022 possono intervenire manualmente per migliorare la protezione contro gli attacchi relay NTLM. Gli amministratori possono configurare EPA per Active Directory Certificate Services (AD CS) e abilitare il channel binding per LDAP.

Microsoft ha inoltre introdotto funzionalità di auditing che permettono agli amministratori di individuare i dispositivi e i client che non supportano il channel binding. Questo consente di identificare preventivamente i sistemi legacy e pianificare una transizione verso configurazioni di autenticazione più sicure.

Miglioramenti della sicurezza per Exchange Server

Le misure contro gli attacchi relay NTLM si inseriscono in un più ampio percorso di rafforzamento della sicurezza dei prodotti Microsoft. Nel 2024, Microsoft ha introdotto EPA attivato per impostazione predefinita nelle nuove installazioni di Exchange Server 2019, mentre per Exchange Server 2016 la protezione estesa è stata resa disponibile come funzionalità attivabile tramite script.

Questi interventi dimostrano l’obiettivo di Microsoft di ridurre progressivamente la superficie di attacco associata a NTLM e favorire l’adozione di meccanismi di autenticazione più moderni e sicuri.

Perché è importante ridurre l’utilizzo di NTLM

La progressiva dismissione di NTLM rappresenta un passaggio importante per la sicurezza delle infrastrutture Windows. Gli attacchi relay possono infatti consentire a un aggressore di sfruttare autenticazioni legittime per raggiungere servizi e risorse senza conoscere direttamente le credenziali dell’utente.

L’adozione di Kerberos, l’attivazione di EPA, il channel binding per LDAP e un’attenta attività di auditing permettono alle organizzazioni di ridurre il rischio e individuare più rapidamente eventuali configurazioni vulnerabili.

La sicurezza Windows guarda oltre NTLM

La strategia di Microsoft punta quindi a ridurre gradualmente la dipendenza da NTLM, aumentando al tempo stesso le protezioni disponibili per gli ambienti che devono ancora utilizzarlo. Per le aziende, questo significa pianificare la migrazione verso sistemi di autenticazione più sicuri, aggiornare i server e monitorare i dispositivi che utilizzano ancora configurazioni legacy.

La sicurezza informatica non dipende da una singola tecnologia, ma da un insieme di configurazioni, aggiornamenti e controlli. Ridurre l’esposizione agli attacchi relay NTLM rappresenta quindi un passo fondamentale per proteggere account, server, Active Directory e infrastrutture aziendali.

Seguite Cyb&Des Consulting sui nostri social!