LAN Manager-Authentifizierungsebene

[Garant 3]

Hallo,

 

heute ist Tag der Fragen. :)

Im Zuge eines anderen Problems ist mir aufgefallen, dass wir (aus der Vergangenheit?) in der "Default Domain Policy" die folgende Konfiguration verteilen.

 

 

Meine Frage ist, dass ist doch nicht mehr aktuell und sollte durch die Einstellung Nur NTLMv2-Antworten senden, LM & NTLM verweigern ersetzt werden oder wie handhabt

Ihr das in euren Umgebungen? Bis auf einen NetServer auf mehreren System i5-Systemen verfügen wir nur über Windows Server 2012 und höher sowie Windows 10.

 

Grüße

[NorbertFe 2.069]

Ja, sollte man definitiv auf NTLM2 erzwingen setzen. Was dann hinten runterfällt, wird man ggf. entweder gesondert behandeln oder endlich aussortieren.  :)

[daabm 1.366]

Vielleicht sollte man auch das NTLM-Auditing aktivieren, anschauen was da noch so kommt, abstellen und dann auch NTLM abstellen... Wenn man keine MS-Cluster betreibt, klappt das sogar (Kein Spaß - wir versuchen das grad, und das einzige, was uns die Suppe versalzt, sind Windows-Cluster und SCVMM...)

[Garant 3]

Am 15.1.2022 um 17:25 schrieb daabm:

Vielleicht sollte man auch das NTLM-Auditing aktivieren, anschauen was da noch so kommt, abstellen und dann auch NTLM abstellen... Wenn man keine MS-Cluster betreibt, klappt das sogar (Kein Spaß - wir versuchen das grad, und das einzige, was uns die Suppe versalzt, sind Windows-Cluster und SCVMM...)

 

Gute Idee, soweit ich in den Docs gefunden habe, gibt es drei Richtlinien?

 

Network security: Restrict NTLM: Audit Incoming NTLM Traffic     
Network security: Restrict NTLM: Audit NTLM authentication in this domain     
Network security: Restrict NTLM: Outgoing NTLM traffic to remote servers

 

Die Erste für Domain Controller (verteilen via Default Domain Controller Policy?) und die anderen beiden für die restlichen Systeme. Aber was heißt das? Nur Server oder auch Clients - vmtl. nur Ersteres, oder?

[cj_berlin 1.334]

vor 34 Minuten schrieb Garant:

... für die restlichen Systeme. Aber was heißt das? Nur Server oder auch Clients - vmtl. nur Ersteres, oder?

Kommt darauf an, was Dein Endziel ist. Ich würde schon wissen wollen, zu wem sich meine Clients so per NTLM authentifizieren bzw. versuchen zu authentifizieren.

[Garant 3]

Hi,

 

ich hatte am gestrigen Donnerstag die Konfiguration einmal gesetzt.

 

Nur NTLMv2-Antworten senden, LM & NTLM verweigern in der Default Domain Policy.

 

Leider hatte das dann den Effekt, dass sich auf einen Schlag alle Konten der Benutzer gesperrt haben.

Habe ich etwas übersehen? Oder den Eintrag an falscher Stelle konfiguriert?

[NorbertFe 2.069]

vor 15 Minuten schrieb Garant:

Leider hatte das dann den Effekt, dass sich auf einen Schlag alle Konten der Benutzer gesperrt haben.

 

Hätte man das Logging aktiviert, wüßte man jetzt mehr :)

[daabm 1.366]

Jepp. Man wüßte dann, warum und von wo sich die User gesperrt haben

[Garant 3]

Das ist korrekt.

Allerdings muss ich sagen, dass sich wirklich alle angemeldeten Benutzerkonten gesperrt haben auf einen Schlag. Wir haben eine Skript laufen,

welches uns via E-Mail informiert, wenn ein Anwender zu oft das falsche Kennwort eingegeben hat und daraus resultierend gesperrt wird (fragt einfach ein Event ab). Nach der o.g. Konfiguration kamen innerhalb von Minuten die E-Mails auf einen Schlag und die Accounts waren zu.

 

Ich werde wohl das Logging aktivieren müssen - kann/darf ich dies in einer sep. GPO machen, die ich auf Testkandidaten linke?

Und darf innerhalb der GPO auch die o.g. Konfiguration gesetzt werden?

[NilsK 2.966]

Moin,

 

Du kannst das nicht in einer Testumgebung ausprobieren?

 

Gruß, Nils

[NorbertFe 2.069]

Hat er doch. :)

[Garant 3]

vor 18 Stunden schrieb NilsK:

Moin,

 

Du kannst das nicht in einer Testumgebung ausprobieren?

 

Gruß, Nils

Leider nicht. :-D

[NilsK 2.966]

Moin,

 

verstehe, das sind ja bestimmt auch zwei Stunden Zeit, eine Testumgebung mit VMs aufzubauen. Dann wird dir wohl nichts übrig bleiben, als weiter auf eine Produktionsumgebung zu verzichten, wenn du die vorhandene zum Testsystem umfunktionieren musst. </ sarcasm>

 

Dann formuliere ich mal positiv: Wie du jetzt durch das Lahmlegen erfahren hast, ist es sinnvoll, Änderungen dieser Art in einer unkritischen Testumgebung durchzuspielen. Da wir aus deinen Schilderungen auch nicht jedes Detail aus der Ferne einschätzen können, wird dir das mehr Handlungssicherheit geben.

 

Gruß, Nils