iis-7.5 - IIS7.5 使 PCI 失败，即使它被禁用

Question

我一定只是遗漏了一些简单的东西，但我终其一生都无法弄清楚为什么一个站点无法通过 PCI 扫描。 “通过 IIS NTLM 身份验证方案可能实现的帐户暴力破解”尤其失败。

我在网上搜索过，结果很平。我找到的一件事在这里:https://sites.google.com/site/pcidssadventures/remediation/86693

也就是说，要确保将本地策略“下次更改密码时不存储 LAN Manager 哈希值”设置为“启用”。它已经是。

我已经通过界面和 apphostconfig 确认 WindowsAuthentication 已禁用，但扫描仍然失败，并且显然由于正当原因而失败 - 它返回一个 NTLM 错误代码。

我唯一的假设是，即使 NTLM 关闭，IIS 仍然以某种方式响应 NTLM 尝试。有谁知道我如何防止这种情况发生？任何人？

提前致谢。

Answer 1

我找到了以下帮助我解决问题的解决方案:

一种解决方案是为您的 Web 禁用 NTLM 身份验证
服务器。这可以通过取消选中集成 Windows 来完成
验证。 How to do

另一种解决方案是确保帐户锁定策略在
地方。一定要检查it在确保之前。

IIS7 修复:

在本地或组策略编辑器中，导航至::计算机配置 > 策略 > Windows 设置 > 安全设置 > 本地策略 > 安全选项 - 启用:网络安全:下次更改密码时不存储 LAN 管理器哈希值。

如果有问题的机器在域中，则可以通过组策略轻松应用此修复程序。