Mitigaciones contra la explotación de NTLM Relay que omiten la configuración de Directiva de Grupo

Hola Maria,

Por lo que describes, ya has tomado medidas sólidas al aplicar LDAP Channel Binding y SMB Signing mediante Directiva de Grupo (Group Policy). El hecho de que algunos clientes heredados sigan pudiendo establecer sesiones sin firma sugiere que la brecha de seguridad no se encuentra en la propia Directiva de Grupo, sino en el punto donde dichas políticas se aplican y validan.

Una forma práctica de identificar el origen del problema es comenzar auditando los controladores de dominio y los servidores de archivos. En concreto, verifica las directivas de seguridad locales y la configuración del registro en esos equipos para confirmar que SMB Signing realmente se está aplicando. En ocasiones, los sistemas heredados o los servidores mal configurados pueden no respetar las GPO del dominio debido a configuraciones locales que las sobrescriben o a ajustes específicos de determinados servicios. Además, revisar los registros de eventos relacionados con el establecimiento de sesiones SMB puede ayudarte a identificar qué equipos están aceptando conexiones sin firma.

Otro paso útil es realizar un análisis de cumplimiento de la configuración base utilizando herramientas como Microsoft Defender for Identity u otras soluciones de auditoría de endpoints. Estas herramientas pueden identificar qué dispositivos no están aplicando el comportamiento esperado de firma. En muchos casos, el problema se debe a versiones antiguas del sistema operativo o a aplicaciones de terceros que no son compatibles con Channel Binding o con la aplicación estricta de SMB Signing, por lo que identificar y aislar esos clientes es fundamental.

Si esta explicación te resulta útil, por favor haz clic en “Aceptar respuesta”.

Jason