ESC8 ainda é a descoberta mais comum de AD CS que vemos

Nos relatórios enviados ao site público de estatísticas do Netwrix PingCastle através do botão "comparar com estatísticas", o A-CertEnrollHttp foi sinalizado 6.487 vezes até novembro de 2026. Isso é mais do que qualquer outro caminho de escalonamento de Active Directory Certificate Services (AD CS) que monitoramos.

Juntamente com A-CertEnrollChannelBinding, cobre o ESC8. O ESC8 está bem documentado e ainda é tão comum porque começa com uma configuração padrão insegura.

O que é ESC8?

ESC8 é um ataque de retransmissão NTLM contra a interface web de inscrição do AD CS. Quando o papel Certification Authority Web Enrollment está instalado e seu endpoint HTTP (certsrv) aceita autenticação NTLM sem proteções como Extended Protection for Authentication (EPA) ou channel binding, um invasor pode retransmitir uma tentativa de autenticação NTLM capturada para esse endpoint e solicitar um certificado em nome de outra pessoa.

Se um invasor coage um controlador de domínio a se autenticar com ele, usando uma técnica como PetitPotam, ele pode retransmitir essa autenticação para o endpoint de inscrição web e receber um certificado que autentica como esse controlador de domínio. A partir daí, é um passo curto para DCSync e o comprometimento total do domínio.

MITRE rastreia isso sob T1557 (Adversary-in-the-Middle) para o mecanismo de coerção e retransmissão, e T1649 (Steal or Forge Authentication Certificates) para o que acontece uma vez que o atacante tem esse certificado em mãos.

Por que o ESC8 é tão comum?

A instalação da função Web Enrollment habilita a autenticação HTTP e NTLM por padrão, e HTTPS com EPA exige configuração adicional. Equipes que não sabem que essa configuração é necessária permanecem expostas por padrão.

Ninguém decide deixar a inscrição de certificados aberta para o relay NTLM. Alguém configura uma CA e habilita o Web Enrollment, e seis meses depois ninguém lembra que o papel está ativo, muito menos que precisa do EPA habilitado.

A descoberta surge até em ambientes reforçados, embora menos frequentemente agora que a conscientização sobre ESC8 se espalhou.

O que um atacante pode fazer com um certificado ESC8?

ESC8 é de alta gravidade devido ao que o atacante possui uma vez que o relay é bem-sucedido. Uma sessão NTLM termina rapidamente, mas o certificado emitido permanece válido até expirar ou ser revogado, o que geralmente dura um ano ou mais.

O certificado também funciona em vários protocolos. O invasor pode autenticar-se com Kerberos ou Schannel (login TLS baseado em certificado), o que contorna quaisquer restrições NTLM no ambiente.

Combinada com uma técnica de coerção, a cadeia precisa apenas de acesso à rede a um endpoint web de inscrição vulnerável e uma máquina que o atacante pode forçar a autenticar. Isso é uma barreira baixa para um caminho que termina em acesso equivalente a Domain Admin.

Como o PingCastle detecta o ESC8?

PingCastle examina cada autoridade certificadora e servidor de inscrição que encontra na rede. Para cada um, envia uma solicitação para dois endpoints: a página web de inscrição (certsrv/certrqxt.asp) e o endpoint do Certificate Enrollment Service (CES). Se algum deles responder com sucesso via HTTP simples, PingCastle sinaliza o domínio, pois um invasor na rede pode retransmitir a autenticação NTLM para um endpoint de inscrição não criptografado.

A-CertEnrollChannelBinding cobre o lado HTTPS. Ele sinaliza pontos de inscrição que aceitam HTTPS, mas não aplicam channel binding, pois uma sessão NTLM retransmitida ainda pode passar via HTTPS.

Como corrigir o ESC8 sem interromper a inscrição?

Você realmente precisa do Web Enrollment? Se ninguém no seu ambiente depende da interface certsrv para solicitações de certificados, remova a função. É a solução mais simples e a primeira a ser verificada.

Se precisar, apenas HTTPS não fecha o ESC8. O endpoint de inscrição também precisa que EPA ou o binding de canal sejam aplicados, pois uma sessão NTLM retransmitida ainda pode ser encaminhada por uma conexão HTTPS.As orientações da Microsoft para mitigar ataques de retransmissão NTLM contra AD CS (KB5005413) explicam a configuração.

Outras mitigações: restrinja o acesso de rede à interface web do CA, desative o NTLM quando o Kerberos for suficiente e aplique correções contra técnicas conhecidas de coerção. Para o restante da exposição do seu CA, revise as configurações arriscadas do AD CS que aparecem junto com o ESC8.

Minha recomendação

Recomendo verificar se você precisa de Web Enrollment antes de reforçá-lo. Se precisar, exija HTTPS e EPA, e siga KB5005413.

Para verificar se você está exposto, execute uma varredura gratuita do PingCastle. Ela sinaliza diretamente o ESC8, junto com o restante da superfície de risco do seu AD CS. Procure no relatório por "The certificate enrollment interface is accessible by unencrypted HTTP" e "Channel Binding is not enforced for the HTTPS Certificate Enrollment Interface", as duas constatações que indicam risco de ESC8.