ICT-Hotlist Thema

Terug naar de ICT-Hotlist...

De beveiliging van een Windows 2008 (r2) Active Directory server kan aanzienlijk worden verbeterd wanneer de server geconfigureerd wordt om alleen gesigneerde of SSL/TLS LDAP connecties te accepteren

Door Johan van Soest.

Gepubliceerd : 2014-08-21.

Laatst gewijzigd : 2022-05-02.

Microsoft heeft aangekondigd vanaf 2023 de beveiliging te verbeteren voor toegang tot Active Directory

De beveiliging van een Windows 2008 (r2) Active Directory server is default geconfigureerd om backwards compatible te zijn met Windows 2000 / NT en XP. Nu dat deze besturingssystemen geheel vervangen zijn (zij worden al maanden of zelfs jaren niet meer ondersteund door Microsoft) kan de beveiliging aanzienlijk verbeterd worden door de server te configureren om "Simple Authentication and Security Layer" (SASL) LDAP unsigned (integrity verification) connecties of clear text "LDAP simple binds" (non-SSL/TLS-encrypted) connecties te weigeren. SASLs ondersteunt protocollen zoals de Negotiate, Kerberos, NTLM, en Digest protocollen. Dit document heeft informatie over:

How to discover clients that do not use the "Require signing" option
How to configure the directory to require LDAP server signing
The FixIt tool (50518)

Hoe kunt U het huidige Authenticatie niveau controleren:

Klik Start, klik Run, type ldp.exe, en klik OK.
In het Connection menu, klik Connect.
In het Server veld en in het Port veld, type de server naam en de non-SSL/TLS poort van Uw directory server, en klik OK.
Noot: voor een Active Directory Domain Controller, de gebruikelijke poort is 389.
Nadat de connectie is opgezet, selecteer Bind in het Connection menu.
Bij Bind type, selecteer Simple bind.
Type de user naam en password, en klik OK.
Wanneer U de volgende boodschap ziet heeft U Uw directory server succesvol beveiligd:
Ldap_simple_bind_s() failed: Strong Authentication Required

U mag stemmen over dit artikel:

Scripts en programmeervoorbeelden disclaimer

Tenzij anders vermeld, zijn de scriptcode en programmeervoorbeelden auteursrechtelijk beschermde (copyright) freeware. U mag deze wijzigen, zolang een verwijzing naar de oorspronkelijke code en een hyperlink naar de bronpagina is opgenomen in de gewijzigde code en documentatie. Het is echter niet toegestaan om (kopieën van) de scripts en programmeervoorbeelden te publiceren op uw eigen site, blog, vlog, of te distribueren op papier of een andere drager, zonder voorafgaande schriftelijke toestemming.
Bij veel van de technieken gebruikt in deze scripts, met inbegrip van maar niet beperkt tot register-wijzigen of wijzigingen aan systeembestanden of instellingen, bestaat een risico dat een werkend besturingssysteem onbruikbaar wordt en gegevens verloren kunnen raken. Zorg ervoor dat U gecontroleerd heeft dat U beschikt over volledige back-ups en de bijbehorende herstelsoftware voordat U deze scripts of programmavoorbeelden gebruikt. Het gebruik van deze scripts en programmeervoorbeelden is volledig Uw eigen risico. Alle aansprakelijkheidsclaims tegen de auteur met betrekking tot materiële of niet-materiële verliezen als gevolg van het gebruik, misbruik of niet-gebruik van de verstrekte informatie of het gebruik van onjuiste of onvolledige informatie, zijn uitgesloten. Alle inhoud is onderhevig aan verandering en geleverd zonder verplichting.