ערכת לימוד לע"מ - ביקורת על אימות NTLM [ שלב אחר שלב ]

האם ברצונך ללמוד כיצד להגדיר מדיניות קבוצתית לביקורת על ההצלחה והכישלון של אימות NTLM? במדריך זה, נראה לך כיצד להגדיר את תכונת ביקורת האימות של NTLM באמצעות GPO.

• Windows 2012 R2 • Windows 2016 • Windows 2019 • Windows 2022 • Windows 10 • Windows 11

רשימת ציוד

כאן תוכל למצוא את רשימת הציוד המשמש ליצירת ערכת לימוד זו.

רשימת ציוד

קישור זה גם יראה את רשימת התוכנה המשמשת ליצירת ערכת לימוד זו.

ערכת לימוד בנושא Windows:

בדף זה, אנו מציעים גישה מהירה לרשימת ערכות לימוד הקשורות ל- Windows.

ערכת לימוד לע"מ – ביקורת על אימות NTLM

בבקר קבוצת המחשבים, פתח את כלי ניהול המדיניות הקבוצתית.

ערוך את מדיניות ברירת המחדל של קבוצת המחשבים.

במסך עורך המדיניות הקבוצתית, הרחב את תיקיית תצורת המחשב ואתר את הפריט הבא.

Copy to Clipboard

גש לתיקיה בשם אפשרויות אבטחה.

GPO - Default domain - local security options

ערוך את פריט התצורה בשם אבטחת רשת: הגבל את NTLM: ביקורת תעבורת NTLM נכנסת.

הפעל את האפשרויות לביקורת עבור כל החשבונות.

ערוך את פריט התצורה בשם אבטחת רשת: הגבל את NTLM: תעבורת NTLM יוצאת לשרתים מרוחקים.

אפשרו לאפשרויות לבקר הכל.

כדי לשמור את תצורת המדיניות הקבוצתית, עליך לסגור את עורך המדיניות הקבוצתית.

ערוך את מדיניות ברירת המחדל של בקרי קבוצות מחשבים.

במסך עורך המדיניות הקבוצתית, הרחב את תיקיית תצורת המחשב ואתר את הפריט הבא.

Copy to Clipboard

גש לתיקיה בשם אפשרויות אבטחה.

GPO - Default domain controllers - Security Options

ערוך את פריט התצורה בשם אבטחת רשת: הגבל את NTLM: בדוק אימות NTLM בתחום זה.

בחר באפשרות הפוך הכל לזמין.

GPO - Audit NTLM authentication in this domain

כדי לשמור את תצורת המדיניות הקבוצתית, עליך לסגור את עורך המדיניות הקבוצתית.

מזל טוב! סיימת את יצירת ה- GPO.

מדריך לע"מ – ביקורת אירועי כניסה של NTLM

לאחר החלת ה-GPO עליך להמתין 10 או 20 דקות.

במהלך תקופה זו ה- GPO ישוכפל לבקרי קבוצות מחשבים אחרים.

במחשב מרוחק, הפעל שורת פקודה של Powershell עם הרשאות מלאות.

אמת את רשימת אירועי NTLM שיירשמו.

Copy to Clipboard

הנה פלט הפקודה.

Copy to Clipboard

Id Description
  -- -----------
 100 NTLM authentication failed because the account was a member of the Protected User group....
 101 NTLM authentication failed because access control restrictions are required....
 301 NTLM authentication succeded, but it will fail when Authentication Policy is enforced because access control restrictions are required....
4001 NTLM client blocked: Outgoing NTLM authentication traffic to remote servers that is blocked....
4002 NTLM server blocked: Incoming NTLM traffic to servers that is blocked...
4003 NTLM server blocked in the domain: NTLM authentication in this domain that is blocked...
4010 NTLM Minimum Client Security Block:...
4011 NTLM Minimum Server Security Block:...
4012 NTLM client used the domain password. The attempt to use the DC-generated NTLM secret failed, and fallback to the domain password succeeded....
4013 Attempt to use NTLMv1 failed....
8001 NTLM client blocked audit: Audit outgoing NTLM authentication traffic that would be blocked....
8002 NTLM server blocked audit: Audit Incoming NTLM Traffic that would be blocked...
8003 NTLM server blocked in the domain audit: Audit NTLM authentication in this domain...

רשום את אירועי הכניסה של NTLM.

Copy to Clipboard

הנה פלט הפקודה.

Copy to Clipboard

TimeCreated                      Id LevelDisplayName Message
-----------                      -- ---------------- -------
8/5/2022 3:53:12 AM            8002 Information      NTLM server blocked audit: Audit Incoming NTLM Traffic that would be blocked...
8/5/2022 3:50:25 AM            8001 Information      NTLM client blocked audit: Audit outgoing NTLM authentication traffic that would be blocked....
8/5/2022 3:50:25 AM            8002 Information      NTLM server blocked audit: Audit Incoming NTLM Traffic that would be blocked...
8/5/2022 3:29:53 AM            8002 Information      NTLM server blocked audit: Audit Incoming NTLM Traffic that would be blocked...
8/5/2022 3:29:52 AM            8002 Information      NTLM server blocked audit: Audit Incoming NTLM Traffic that would be blocked...
8/5/2022 3:29:51 AM            8002 Information      NTLM server blocked audit: Audit Incoming NTLM Traffic that would be blocked...
8/5/2022 3:29:50 AM            8002 Information      NTLM server blocked audit: Audit Incoming NTLM Traffic that would be blocked...
8/5/2022 3:29:49 AM            8002 Information      NTLM server blocked audit: Audit Incoming NTLM Traffic that would be blocked...
8/5/2022 3:29:48 AM            8002 Information      NTLM server blocked audit: Audit Incoming NTLM Traffic that would be blocked...
8/5/2022 3:29:47 AM            8002 Information      NTLM server blocked audit: Audit Incoming NTLM Traffic that would be blocked...

רשום אירועי NTLM ספציפיים.

Copy to Clipboard

קבל פרטים מאירוע NTLM האחרון.

Copy to Clipboard

הנה פלט הפקודה.

Copy to Clipboard

בדוגמה שלנו, הגדרנו GPO לביקורת על אירועי הצלחה וכישלון של NTLM.

GPO – ביקורת על אימות NTLM

GPO – ביקורת על אימות NTLM

רשימת ציוד

ערכת לימוד בנושא Windows:

ערכת לימוד לע"מ – ביקורת על אימות NTLM

מדריך לע"מ – ביקורת אירועי כניסה של NTLM

GPO – ביקורת על אימות NTLM

GPO – ביקורת על אימות NTLM

רשימת ציוד

ערכת לימוד בנושא Windows:

ערכת לימוד לע"מ – ביקורת על אימות NTLM

מדריך לע"מ – ביקורת אירועי כניסה של NTLM

Related Posts