ESC8 є атакою типу NTLM relay на компонент вебреєстрації AD CS. Наразі це найпоширеніший вектор ескалації привілеїв у сервісах сертифікатів, який виявляється під час аудитів безпеки Active Directory. Ця проблема залишається актуальною, оскільки під час встановлення служби вебреєстрації протоколи HTTP та NTLM активуються за замовчуванням. У комбінації з методами примусової автентифікації, як-от PetitPotam, зловмисники отримують можливість згенерувати сертифікат для автентифікації з правами контролера домену. Рекомендується деінсталювати цю роль, якщо вона не використовується; у разі необхідності її функціонування обов’язковою є вимога використання HTTPS та активація розширеного захисту автентифікації (Extended Protection for Authentication).
У звітах, поданих на портал статистики Netwrix PingCastle через кнопку «compare with statistics», станом на листопад 2026 року конфігурацію A-CertEnrollHttp було виявлено 6 487 разів. Це найбільший показник серед усіх відстежуваних векторів ескалації в сервісах AD CS.
Разом з A-CertEnrollChannelBinding це утворює вектор ESC8. Цей вектор добре задокументований, але залишається дуже поширеним через небезпечні базові налаштування.
Що таке ESC8?
ESC8 є атакою NTLM relay на інтерфейс вебреєстрації сервісів AD CS. Якщо інстальовано роль Certification Authority Web Enrollment, а її кінцева точка HTTP (certsrv) підтримує автентифікацію NTLM без захисних механізмів на кшталт EPA чи прив’язки каналів, зловмисник отримує можливість переспрямувати перехоплений запит NTLM на цю кінцеву точку та згенерувати сертифікат від імені іншого користувача.
У разі примусової автентифікації контролера домену (наприклад, за допомогою PetitPotam), зловмисник здатен ретранслювати її на кінцеву точку вебреєстрації та здобути сертифікат із правами контролера домену. Це створює прямий шлях до атаки DCSync і повної компрометації домену.
У базі MITRE ця активність класифікується як T1557 (Adversary-in-the-Middle) для процесу примусу й ретрансляції та T1649 (Steal or Forge Authentication Certificates) для подальших дій з отриманим сертифікатом.
Чому ESC8 настільки поширена?
Інсталяція ролі вебреєстрації базово активує автентифікацію через HTTP та NTLM, тоді як примусове використання HTTPS з EPA вимагає додаткових налаштувань. Команди, яким невідомо про цю вимогу, автоматично залишаються без належного захисту.
Відкриття доступу до реєстрації сертифікатів для атак NTLM relay ніколи не є свідомим кроком. Зазвичай центр сертифікації розгортається з увімкненою вебреєстрацією, а вже за пів року ніхто не згадує про активність цієї ролі, не кажучи вже про потребу активації EPA.
Ця проблема фіксується навіть у захищених середовищах, хоча зараз це трапляється рідше завдяки поширенню обізнаності щодо ESC8.
Які можливості відкриває сертифікат ESC8 для зловмисника?
ESC8 має високий рівень критичності через те, що саме отримує зловмисник після успішного виконання NTLM relay. Сесія NTLM завершується швидко, проте виданий сертифікат залишається дійсним, доки не закінчиться термін його дії або його не буде відкликано, що часто становить рік або більше.
Цей сертифікат також працює з різними протоколами. Зловмисник може пройти автентифікацію за допомогою Kerberos або Schannel (вхід у систему через TLS на основі сертифіката), що дозволяє обійти будь-які обмеження NTLM у середовищі.
У поєднанні з технікою примусової автентифікації цей ланцюг вимагає лише мережевого доступу до вразливої кінцевої точки вебреєстрації та наявності машини, яку зловмисник може змусити пройти автентифікацію. Це низький бар’єр для шляху, який завершується отриманням доступу, на рівні прав адміністратора домену.
Як PingCastle виявляє ESC8?
PingCastle сканує всі центри сертифікації та сервери реєстрації, знайдені в мережі. До кожного такого об’єкта ініціюється запит на дві кінцеві точки: сторінку вебреєстрації (certsrv/certrqxt.asp) та кінцеву точку сервісу CES. У разі отримання успішної відповіді через звичайний HTTP PingCastle відзначає домен як вразливий, адже зловмисник із доступом до мережі здатен виконати NTLM relay на незашифровану кінцеву точку реєстрації.
Зі свого боку налаштування A-CertEnrollChannelBinding відповідає за контроль з’єднань HTTPS. Воно фіксує кінцеві точки реєстрації, що підтримують HTTPS без примусового застосування прив’язки каналів, оскільки в такому випадку ретрансльована сесія NTLM усе одно може бути успішно передана.
Як виправити ESC8 без порушення процесу реєстрації?
Насамперед слід визначити, чи дійсно існує потреба в ролі вебреєстрації. Якщо інфраструктура не використовує інтерфейс certsrv для генерування запитів на сертифікати, цю роль слід деінсталювати. Це найпростіший і першочерговий метод розв’язання проблеми.
У разі необхідності функціонування цієї ролі впровадження одного лише HTTPS недостатньо для усунення ESC8. Для кінцевої точки реєстрації також обов’язковою є активація EPA або прив’язки каналів, адже ретрансльована сесія NTLM може бути успішно доставлена навіть поверх з’єднання HTTPS. Детальні інструкції з налаштування наведено в документації Microsoft щодо протидії атакам NTLM relay на сервіси AD CS (документ KB5005413).
Додаткові заходи безпеки охоплюють:
- обмеження доступу до вебінтерфейсу центру сертифікації на рівні мережі
- відключення NTLM у сегментах, де функціонує Kerberos
- застосування патчів для блокування відомих методів примусової автентифікації.
Для комплексного захисту центру сертифікації рекомендується проаналізувати інші ризикові конфігурації сервісів AD CS, що зазвичай фіксуються паралельно з ESC8.
