ESC8 è ancora la scoperta più comune di AD CS che vediamo

Nei report inviati al sito pubblico di statistiche di Netwrix PingCastle tramite il pulsante "confronta con le statistiche", A-CertEnrollHttp è stato segnalato 6.487 volte a novembre 2026. È più di qualsiasi altro percorso di escalation di Active Directory Certificate Services (AD CS) che monitoriamo.

Insieme a A-CertEnrollChannelBinding, copre ESC8. ESC8 è ben documentato ed è ancora così comune perché parte da un'impostazione predefinita insicura.

Cos'è ESC8?

ESC8 è un attacco di relay NTLM contro l'interfaccia web di iscrizione AD CS. Quando il ruolo Certification Authority Web Enrollment è installato e il suo endpoint HTTP (certsrv) accetta l'autenticazione NTLM senza protezioni come Extended Protection for Authentication (EPA) o channel binding, un attaccante può rilanciare un tentativo di autenticazione NTLM catturato a quell'endpoint e richiedere un certificato per conto di qualcun altro.

Se un attaccante costringe un controller di dominio ad autenticarsi con lui, usando una tecnica come PetitPotam, può inoltrare quell'autenticazione al punto di iscrizione web e ricevere un certificato che si autentica come quel controller di dominio. Da lì è un breve passo verso DCSync e la completa compromissione del dominio.

MITRE traccia questo sotto T1557 (Adversary-in-the-Middle) per il meccanismo di coercizione e rilancio, e T1649 (Steal or Forge Authentication Certificates) per ciò che accade una volta che l'attaccante ha quel certificato in mano.

Perché ESC8 è così comune?

L’installazione del ruolo Web Enrollment abilita l’autenticazione HTTP e NTLM di default, mentre HTTPS con EPA richiede una configurazione aggiuntiva. I team che non sanno che serve questa configurazione restano esposti per impostazione predefinita.

Nessuno decide di lasciare l'iscrizione dei certificati aperta al relay NTLM. Qualcuno configura una CA e abilita Web Enrollment, e sei mesi dopo nessuno ricorda che il ruolo è attivo, figuriamoci che necessita di EPA abilitato.

La scoperta emerge anche in ambienti rafforzati, sebbene meno spesso ora che la consapevolezza di ESC8 si è diffusa.

Cosa può fare un attaccante con un certificato ESC8?

ESC8 è di alta gravità a causa di ciò che l’attaccante detiene una volta che il relay ha successo. Una sessione NTLM termina rapidamente, ma il certificato emesso rimane valido fino alla sua scadenza o alla revoca, spesso per un anno o più.

Il certificato funziona anche tra protocolli. L’attaccante può autenticarsi con Kerberos o Schannel (accesso TLS basato su certificato), che bypassa qualsiasi restrizione NTLM nell’ambiente.

Combinata con una tecnica di coercizione, la catena necessita solo dell'accesso di rete a un endpoint web di registrazione vulnerabile e a una macchina che l'attaccante può costringere ad autenticarsi. È una soglia bassa per un percorso che termina con accesso equivalente a Domain Admin.

Come rileva PingCastle ESC8?

PingCastle esamina ogni autorità di certificazione e server di registrazione che trova nella rete. Per ciascuno, invia una richiesta a due endpoint: la pagina web di registrazione (certsrv/certrqxt.asp) e l'endpoint del Certificate Enrollment Service (CES). Se uno dei due risponde correttamente tramite HTTP non cifrato, PingCastle segnala il dominio, perché un attaccante nella rete può inoltrare l'autenticazione NTLM a un endpoint di registrazione non crittografato.

A-CertEnrollChannelBinding copre il lato HTTPS. Segnala gli endpoint di registrazione che accettano HTTPS ma non applicano il channel binding, poiché una sessione NTLM inoltrata può comunque passare tramite HTTPS.

Come risolvi ESC8 senza interrompere l'iscrizione?

Hai davvero bisogno di Web Enrollment? Se nessuno nel tuo ambiente si affida all'interfaccia certsrv per le richieste di certificati, rimuovi il ruolo. È la soluzione più semplice e quella da verificare per prima.

Se ne hai bisogno, HTTPS da solo non chiude ESC8. Anche il punto di iscrizione necessita che EPA o il binding del canale siano applicati, perché una sessione NTLM inoltrata può ancora essere trasmessa tramite una connessione HTTPS.La guida di Microsoft per mitigare gli attacchi di relay NTLM contro AD CS (KB5005413) illustra la configurazione.

Altre mitigazioni: limita l'accesso di rete all'interfaccia web del CA, disabilita NTLM quando Kerberos è sufficiente e applica patch contro tecniche di coercizione note. Per il resto dell'esposizione del tuo CA, rivedi le impostazioni AD CS rischiose che compaiono insieme a ESC8.

La mia raccomandazione

Consiglio di verificare se è necessario Web Enrollment prima di rafforzarlo. Se necessario, richiedere HTTPS ed EPA, e seguire KB5005413.

Per verificare se sei esposto, esegui una scansione gratuita di PingCastle. Segnala direttamente ESC8, insieme al resto della superficie di rischio di AD CS. Cerca nel rapporto "The certificate enrollment interface is accessible by unencrypted HTTP" e "Channel Binding is not enforced for the HTTPS Certificate Enrollment Interface", i due riscontri che indicano il rischio ESC8.