Möchten Sie erfahren, wie Sie eine Gruppenrichtlinie konfigurieren, um den Erfolg und Misserfolg der NTLM-Authentifizierung zu überwachen? In diesem Lernprogramm zeigen wir Ihnen, wie Sie das NTLM-Authentifizierungsüberwachungsfeature mithilfe eines Gruppenrichtlinienobjekts konfigurieren.
• Windows 2012 R2
• Windows 2016
• Windows 2019
• Windows 2022
• Windows 10
• Windows 11
Geräteliste
Hier finden Sie die Liste der Geräte, die zum Erstellen dieses Tutorials verwendet wurden.
Dieser Link zeigt auch die Softwareliste, die zum Erstellen dieses Tutorials verwendet wurde.
Windows-bezogenes Tutorial:
Auf dieser Seite bieten wir schnellen Zugriff auf eine Liste von Tutorials zu Windows.
Lernprogramm GPO - Überwachen der NTLM-Authentifizierung
Öffnen Sie auf dem Domänencontroller das Gruppenrichtlinienverwaltungstool.
Bearbeiten Sie die Standarddomänenrichtlinie.
Erweitern Sie auf dem Bildschirm des Gruppenrichtlinien-Editors den Ordner Computerkonfiguration, und suchen Sie das folgende Element.
Greifen Sie auf den Ordner mit dem Namen Sicherheitsoptionen zu.
Bearbeiten Sie das Konfigurationselement mit dem Namen Netzwerksicherheit: NTLM einschränken: Eingehenden NTLM-Datenverkehr überwachen.
Aktivieren Sie die Optionen für die Überwachung für alle Konten.
Bearbeiten Sie das Konfigurationselement mit dem Namen Netzwerksicherheit: NTLM: Ausgehender NTLM-Datenverkehr auf Remoteserver beschränken.
Aktivieren Sie die Optionen, um alle zu überwachen.
Zum Speichern der Gruppenrichtlinienkonfiguration müssen Sie den Gruppenrichtlinien-Editor schließen.
Bearbeiten Sie die Standardrichtlinie für Domänencontroller.
Erweitern Sie auf dem Bildschirm des Gruppenrichtlinien-Editors den Ordner Computerkonfiguration, und suchen Sie das folgende Element.
Greifen Sie auf den Ordner mit dem Namen Sicherheitsoptionen zu.
Bearbeiten Sie das Konfigurationselement mit dem Namen Netzwerksicherheit: NTLM einschränken: NTLM-Authentifizierung in dieser Domäne überwachen.
Wählen Sie die Option Alle aktivieren.
Zum Speichern der Gruppenrichtlinienkonfiguration müssen Sie den Gruppenrichtlinien-Editor schließen.
Herzlichen glückwunsch! Sie haben die GPO-Erstellung abgeschlossen.
Lernprogramm GPO - Überwachen von NTLM-Anmeldeereignissen
Nach der Anwendung des Gruppenrichtlinienobjekts müssen Sie 10 oder 20 Minuten warten.
Während dieser Zeit wird das Gruppenrichtlinienobjekt auf andere Domänencontroller repliziert.
Starten Sie auf einem Remotecomputer eine erhöhte Powershell-Befehlszeile.
Überprüfen Sie die Liste der NTLM-Ereignisse, die protokolliert werden.
Hier ist die Befehlsausgabe.
Listen Sie NTLM-Anmeldeereignisse auf.
Hier ist die Befehlsausgabe.
Listen Sie bestimmte NTLM-Ereignisse auf.
Rufen Sie Details aus dem letzten NTLM-Ereignis ab.
Hier ist die Befehlsausgabe.
In unserem Beispiel haben wir ein Gruppenrichtlinienobjekt konfiguriert, um NTLM-Erfolgs- und Fehlerereignisse zu überwachen.
