LLMNR, NBT-NS et mDNS : couper les résolutions de secours qui divulguent vos condensats NTLM
Lors de nos tests d'intrusion internes, l'empoisonnement de la résolution de noms reste l'un des moyens les plus rapides d'obtenir un premier secret d'authentification. Il ne repose sur aucune vulnérabilité logicielle : simplement sur des protocoles de secours activés par défaut et rarement utiles dans un réseau d'entreprise.
Des protocoles de secours trop confiants
Lorsqu'un poste Windows doit résoudre un nom, il interroge d'abord son serveur DNS. Si celui-ci ne connaît pas le nom, par exemple à cause d'une faute de frappe dans un chemin réseau ou d'un ancien partage supprimé, Windows peut se rabattre sur des mécanismes de diffusion locale :
- LLMNR (Link-Local Multicast Name Resolution), requête multidiffusion sur le sous-réseau ;
- NBT-NS (NetBIOS Name Service), héritage de NetBIOS sur TCP/IP, par diffusion ;
- mDNS (multicast DNS), présent dans les versions récentes de Windows.
Aucun de ces protocoles n'authentifie la réponse. Toute machine du même segment réseau peut répondre « c'est moi » et le poste la croit.
De la réponse usurpée au condensat NTLM
Une fois la réponse usurpée acceptée, le poste tente de se connecter à la machine de l'attaquant, souvent en SMB ou en HTTP. Si le service demande une authentification, Windows envoie automatiquement une réponse NTLM calculée à partir du mot de passe de l'utilisateur. Cette réponse de type NetNTLMv2 peut ensuite être soumise à une attaque par dictionnaire hors ligne, ou relayée en temps réel vers un autre serveur qui n'exige pas la signature. Un mot de passe faible ou un compte privilégié qui navigue sur un nom inexistant suffit à ouvrir la voie.
Désactiver LLMNR, NBT-NS et mDNS
| Protocole | Méthode de désactivation |
|---|---|
| LLMNR | Stratégie de groupe : Configuration ordinateur, Modèles d'administration, Réseau, Client DNS, « Désactiver la résolution de noms multidiffusion » sur Activé |
| NBT-NS | Option DHCP propre à Microsoft désactivant NetBIOS sur TCP/IP, ou paramètre par carte réseau (valeur de registre NetbiosOptions) déployé par script ou préférence de stratégie de groupe pour les adresses statiques |
| mDNS | Paramètre de registre du client DNS ou règles de pare-feu Windows ; la méthode prise en charge peut évoluer, vérifiez la documentation Microsoft actuelle |
Microsoft a par ailleurs annoncé son intention de réduire progressivement le rôle de LLMNR et de NetBIOS au profit de mDNS : suivez ces évolutions pour ne pas réactiver involontairement un protocole équivalent.
Ce qui peut casser
Dans la grande majorité des réseaux d'entreprise gérés par DNS, la désactivation passe inaperçue. Les exceptions à surveiller :
- des applications anciennes ou des scripts qui utilisent des noms courts non enregistrés dans le DNS ;
- des imprimantes, équipements industriels ou appareils de laboratoire découverts par nom NetBIOS ;
- des segments isolés sans serveur DNS, où les machines se trouvaient mutuellement par diffusion ;
- certaines fonctionnalités de découverte d'appareils ou de partage d'écran s'appuyant sur mDNS.
Déployez d'abord sur un groupe pilote, surveillez les incidents, puis généralisez. La correction consiste en général à ajouter l'enregistrement DNS manquant.
Traiter aussi la cause. Désactiver ces protocoles supprime l'empoisonnement, mais pas les relais NTLM obtenus par d'autres moyens. Exigez la signature SMB et LDAP, la liaison de canal sur LDAPS et HTTPS, et réduisez l'usage de NTLM.
Ce qu'un audit vérifie
- la présence et la portée de la stratégie désactivant la résolution de noms multidiffusion ;
- la configuration de NetBIOS sur TCP/IP sur un échantillon de postes et de serveurs, y compris en adressage statique ;
- l'état de mDNS sur les postes récents ;
- l'exigence de signature SMB et LDAP qui limite l'exploitation des condensats capturés.