Firma SMB y LDAP como control

Microsoft Windows habilita de forma predeterminada la firma SMB obligatoria en los controladores de dominio. Sin embargo, en servidores miembro y estaciones de trabajo, la directiva suele figurar como habilitada pero no requerida, permitiendo que clientes o intermediarios negocien conexiones sin firma.

Examina la tabla politicas_gpo e identifica el nombre de la directiva de grupo que aplica a los servidores miembro de la organización.

Cuando un servidor miembro tiene la directiva configurada en modo opcional o deshabilitado, no rechazará conexiones SMB sin firma digital. En un informe de evaluación técnica, estos servidores deben listarse individualmente para su remediación mediante GPO centralizada.

Consulta la tabla auditoria_equipos y calcula cuántos servidores presentan la firma SMB en estado OPCIONAL.

Además de SMB, el protocolo LDAP sobre SSL/TLS (LDAPS) y las conexiones LDAP convencionales son vectores habituales de retransmisión si no se exige firmado y vinculación de canal (Channel Binding). La directiva LdapEnforceChannelBinding en el registro del sistema operativo define si el servidor acepta conexiones sin vincular.

¿Qué consecuencia técnica ocurre al configurar LdapEnforceChannelBinding en el nivel 2 (Always)?