Все коммуникации между различными устройствами происходят с использованием определенного протокола. Одним из таких протоколов аутентификации является «NTLM». NTLM — старая технология, изначально представленная в Windows NT 3.1. Однако текущие современные операционные системы Windows, такие как Windows 11, по-прежнему поддерживают эту технологию, и на то есть веские причины.

Однако, поскольку технология аутентификации NTLM устарела и устарела, хакеры, как правило, перехватывают пакеты данных в этом протоколе, делая уязвимыми ваши имена пользователей и пароли.

Независимо от того, являетесь ли вы системным администратором, использующим Windows Server, или обычным человеком с клиентской операционной системой Windows, вы можете защитить свою сеть, отслеживая и даже блокируя протокол проверки подлинности NTLM.

В этой статье мы подробно расскажем, что такое протокол аутентификации NTLM, почему он используется, почему он все еще поддерживается и как отслеживать любые приложения или программы, которые все еще его используют, чтобы их можно было заблокировать.

Что такое NTLM-аутентификация

NTLM — это протокол аутентификации, используемый для проверки того, что пользователь является тем, за кого себя выдает. Это проверяется с использованием ваших учетных данных, конечно. Когда ПК внутри Active Directory решает получить доступ к другому компьютеру, учетные данные сначала отправляются на контроллер домена с использованием протокола NTLM, после чего доступ либо запрещается, либо предоставляется.

Когда учетные данные путешествуют по сети, хакер может легко получить доступ к пакетам, что не очень сложно в наше время, а технология NTLM (почти) устарела.

До NTLM существовал другой протокол аутентификации, известный как «LM». Это, конечно, было даже слабее, чем NTLM. С NTLM Microsoft сначала выпустила NTLMv1, но улучшила его безопасность и выпустила NTLMv2. И того, и другого недостаточно для противодействия угрозам современных технологий. Вот почему было бы разумно отслеживать и вообще блокировать использование этой технологии.

Почему NTLM все еще поддерживается Windows

Несмотря на то, что NTLM является устаревшей технологией, последняя версия Windows все еще поддерживает ее. Это сделано для того, чтобы противостоять любым проблемам совместимости.

Людям, которые все еще используют старые приложения и серверы, может потребоваться использовать протокол NTLM для целей аутентификации, поскольку их среда не позволяет использовать его преемника; “Керберос— более безопасный и современный протокол аутентификации.

В идеале все сети должны использовать Kerberos для аутентификации, так как это более безопасно, NTLM по-прежнему поддерживается для людей, которые работают в более старых средах.

Почему аутентификация NTLM представляет угрозу

Протокол аутентификации NTLM использует хеширование — механизм шифрования — для включения фактического имени пользователя и пароля. Однако даже этот подход не является безопасным в соответствии с современными временами. Если хэш-код перехвачен хакером, он не сможет его расшифровать, но может использовать весь хэш для аутентификации в контроллере домена. Затем контроллер домена будет аутентифицировать самозванцев, а не вас, фактического человека, сгенерировавшего запрос в первую очередь.

Из-за этой угрозы важно проверить и заблокировать протокол аутентификации NTLM и, если возможно, заменить его на Kerberos.

Как контролировать протокол NTLM

Когда мы говорим о мониторинге трафика NTLM, вы можете узнать, какие приложения или порты отправляют или получают пакеты NTLM на вашем ПК. Это можно сделать как на серверах Windows, так и на клиентской ОС Windows.

Трафик NTLM можно отслеживать различными способами:

Мониторинг NTLM с помощью групповой политики

Microsoft предоставляет групповую политику, которую можно использовать для проверки подлинности NTLM в доменах AD. Кроме того, он показывает запросы проверки подлинности NTLM к контроллерам домена. Кроме того, политика также предлагает различные параметры, которые обсуждаются в следующих шагах.

Выполните следующие действия, чтобы начать мониторинг трафика NTLM в вашей сети:

1. Откройте редактор групповой политики, введя «gpedit.msc» в поле «Выполнить команду».

   Откройте редактор групповой политики

2. Перейдите к следующему на левой панели:

   Конфигурация компьютера >> Параметры Windows >> Параметры безопасности >> Локальные политики >> Параметры безопасности

3. На правой панели откройте политику «Сетевая безопасность: Ограничить NTLM: Аудит проверки подлинности NTLM в этом домене».

   Открытая политика аудита NTLM

4. Теперь выберите один из следующих вариантов в раскрывающемся меню:

   • Включить для учетных записей домена серверы домена – регистрирует события, связанные с аутентификацией NTLM для учетных записей домена на контроллерах домена.
   • Включить для учетных записей домена – Записывает события для попыток входа в систему NTLM с использованием учетных записей домена.
   • Включить для серверов домена – Регистрировать аутентификацию NTLM на всех серверах в домене.
   • Включить все (рекомендуемый вариант) – Записывает сквозные проверки подлинности NTLM с серверов и для учетных записей.

   Установите политику, чтобы начать мониторинг трафика NTLM

5. Нажмите Применять и Хорошо.

6. Запустите следующий командлет в командной строке с повышенными привилегиями, чтобы применить изменения политики:

   GPUUpdate/Force

   Применить изменения политики

Теперь компьютер начнет записывать и регистрировать трафик NTLM и сохранять журналы в средстве просмотра событий. Вот как вы можете просматривать журналы в средстве просмотра событий:

1. Откройте средство просмотра событий, введя «eventvwr.msc» в поле «Выполнить команду».

   Откройте средство просмотра событий

2. Перейдите к следующему на левой панели:

   Журналы приложений и служб >> Microsoft >> Windows >> NTLM >> Operational

3. Здесь будут отображаться все события о протоколе NTLM.

   Просмотр журналов NTLM в средстве просмотра событий

Еще один более быстрый способ просмотра всех журналов NTLM — из Windows PowerShell.

Мониторинг NTLM с помощью PowerShell

Журналы трафика NTLM также можно проверить с помощью PowerShell. Однако вам все равно потребуется включить групповую политику, как обсуждалось выше.

Используйте следующую команду для получения событий NTLM в PowerShell с повышенными правами:

Get-WinEvent -LogName “Microsoft-Windows-NTLM/Operational”

Просмотр журналов NTLM из PowerShell

Мониторинг NTLM с помощью событий входа в систему

Вы также можете узнать, какие приложения используют NTLMv1, отслеживая успешность событий входа в систему на контроллере домена. Конечно, для этого необходимо настроить групповую политику. Следуй этим шагам:

1. Откройте редактор групповой политики, введя «gpedit.msc» в поле «Выполнить команду».

   Откройте редактор групповой политики

2. Перейдите к следующему на левой панели:

   Конфигурация компьютера >> Параметры Windows >> Параметры безопасности >> Локальные политики >> Политика аудита

3. На правой панели откройте политику «Аудит событий входа в учетную запись».

4. Выбирать “Успех“, а затем нажмите Применять и Хорошо.

   Аудит событий входа в систему

5. Запустите следующий командлет в командной строке с повышенными привилегиями, чтобы применить изменения политики:

   GPUUpdate/Force

   Применить изменения политики

Теперь вы можете снова проверить в средстве просмотра событий события входа в систему, чтобы определить приложения, все еще использующие протокол NTLM. Эти события будут иметь идентификатор события «4624».

Это все способы узнать и отслеживать, какие приложения используют протокол NTLM. Давайте теперь посмотрим, как отключить/заблокировать аутентификацию NTLM в вашем домене.

Как отключить аутентификацию NTLM

Проверка подлинности NTLM может быть заблокирована в вашем домене, если вы выполните следующие действия на контроллере домена:

1. Откройте редактор групповой политики, введя «gpedit.msc» в поле «Выполнить команду».

   Откройте редактор групповой политики

2. Перейдите к следующему на левой панели:

   Конфигурация компьютера >> Параметры Windows >> Параметры безопасности >> Локальные политики >> Параметры безопасности

3. На правой панели откройте политику «Сетевая безопасность: ограничение NTLM: проверка подлинности NTLM в этом домене».

   Откройте групповую политику, чтобы заблокировать аутентификацию NTLM.

4. Теперь выберите один из следующих вариантов в раскрывающемся меню:

   • Запретить доступ учетных записей домена к серверам домена – Контроллер домена будет отклонять все попытки входа в систему с проверкой подлинности NTLM на всех серверах в домене, использующих учетные записи домена.
   • Запретить для учетных записей домена – Контроллер домена будет отклонять все попытки входа в систему с проверкой подлинности NTLM с учетных записей домена.
   • Запретить для доменных серверов – Контроллер домена будет отклонять запросы проверки подлинности NTLM ко всем серверам в домене.
   • Запретить все (рекомендуемый вариант) – Контроллер домена будет отклонять все запросы сквозной аутентификации NTLM со своих серверов и для своих учетных записей.

   Отключить NTLM-аутентификацию

5. Нажмите Применять и Хорошо.

6. Запустите следующий командлет в командной строке с повышенными привилегиями, чтобы применить изменения политики:

   GPUUpdate/Force

   Применить изменения политики

Вся проверка подлинности NTLM теперь будет заблокирована, и пользователю будет выведено сообщение об ошибке. Однако это заблокирует всю аутентификацию, использующую протокол NTLM. Если вы хотите авторизовать приложения, которые использовали NTLM для аутентификации, вы должны перевести их на Kerberos.

Заключительные слова

Когда устаревшая технология все еще поддерживается, это не обязательно означает, что вы должны ее принять. Протокол аутентификации NTLM является одним из таких примеров. Это нужно только для того, чтобы приложения, которые все еще используют эту технологию, продолжали работать. В противном случае в современном мире это не имеет значения для безопасности.

Поэтому мы рекомендуем сегодня отключить аутентификацию NTLM в вашей сети и добавить этот дополнительный уровень защиты.

Похожие сообщения:

Производительность компьютера обычно зависит от самого медленного компонента системы. Из всех компонентов компьютера жесткие диски или твердотельные накопители, вероятно, самые медленные. Хотя скорости жестких дисков стали довольно высокими по сравнению со старыми жесткими дисками SATA и PATA, они все еще отстают от скоростей ОЗУ и ЦП.

Если у вас возникают проблемы с производительностью компьютера даже с обновленным SSD, вам, вероятно, следует запустить тест скорости диска SSD, чтобы убедиться, что ваш жесткий диск не виноват. Читать →

Эта статья может оказаться полезной для системных администраторов, работающих в среде с несколькими контроллерами домена (DC), особенно если вы пытаетесь устранить неполадки и определить, есть ли неисправный контроллер. Это можно сделать, переключив контроллер домена с одного контроллера домена на другой на клиентском ПК с Windows.

Смена контроллера домена (оставаясь в том же домене), а затем обнаружение решения проблемы означает, что возникла проблема с первоначальным контроллером. Вы также можете захотеть изменить контроллер домена для клиентского ПК по другим причинам, например, пользователь может изменить свое местоположение, свою рабочую группу и т. д.

В этом посте мы покажем вам несколько способов найти имя вашего текущего контроллера домена и как вы можете изменить его на другой контроллер на ПК с Windows 11. Не путайте это со сменой доменов; вместо этого мы будем обсуждать изменение контроллеров домена только внутри одного и того же домена.

Найти текущий контроллер домена

Вы можете получить имя вашего текущего присоединенного домена на странице настроек «О компьютере» или даже в апплете «Сетевые подключения» (ncpa.cpl) под сетевой картой.

Просмотр имени домена в настройках

Когда вы знаете имя домена, запишите его. Затем вы можете использовать следующий командлет в командной строке, чтобы узнать, к какому контроллеру домена в данный момент подключен ваш компьютер:

Примечание: Замените (DomainName) на имя вашего домена.

nltest /dsgetdc:(имя_домена)

Получить текущее имя контроллера домена из командной строки

Здесь вы найдете имя контроллера домена перед «ОКРУГ КОЛУМБИЯ:“.

Теперь вы можете продолжить переключение контроллера домена на другой сервер. Перед этим убедитесь, что у вас есть требуемое имя сервера, а также соответствующие учетные данные домена.

Переключение контроллера домена с помощью командной строки (временно)

Один из способов изменить подключенный контроллер домена — из командной строки. Используйте следующие шаги, чтобы изменить его:

Примечание: Использование этого метода для смены контроллера домена является временным. ПК может поймать другой контроллер домена при перезапуске. Чтобы навсегда изменить контроллер домена, используйте метод реестра Windows, описанный в следующем разделе.

1. Введите “CMD» в меню «Пуск» щелкните правой кнопкой мыши «Командная строка“, а затем нажмите “Местонахождение открытого файла».

   Открыть местоположение файла CMD

2. Удерживайте Сдвиг ключ, а затем щелкните правой кнопкой мыши файл «Командная строка». В контекстном меню нажмите «Запуск от имени другого пользователя».

   Запустите CMD от имени другого пользователя

3. Теперь введите учетные данные для учетной записи администратора домена (в формате, показанном на изображении ниже) и нажмите Хорошо.

   Введите учетные данные для учетной записи администратора домена

   Командная строка теперь будет работать с правами администратора домена.

4. Теперь используйте следующую команду, заменяя необходимые переменные в соответствии с вашей средой, чтобы изменить контроллер домена:

   Замените (ComputerName) на имя клиентского ПК с Windows 11, (DomainName) на имя домена и (DomainControllerName) на имя контроллера домена, на который вы хотите сменить контроллер.

   nltest /Server:(ComputerName) /SC_RESET:(DomainName)(DomainControllerName)

   Изменить контроллер домена из командной строки

Вот и все! Контроллер домена теперь должен быть изменен. Вы можете подтвердить это, выполнив описанную выше команду, чтобы узнать имя вашего контроллера домена.

Подтвердите, что контроллер домена был изменен

Изменить контроллер домена из реестра Windows (постоянно)

Чтобы навсегда изменить контроллер домена, выполните шаги, указанные ниже. Таким образом, вы можете вносить изменения непосредственно в реестр Windows и переключаться на другой контроллер домена.

Примечание: Неправильная настройка критических значений в системном реестре может быть фатальной для вашей операционной системы. Поэтому мы настаиваем на том, чтобы вы создали точку восстановления системы, прежде чем продолжить процесс.

Вы также можете использовать наш лучший выбор программного обеспечения для создания образов дисков и резервного копирования, чтобы больше никогда не потерять свои данные или операционную систему.

1. Откройте редактор реестра, введя «regedit» в поле «Выполнить команду».

   Откройте редактор реестра

2. Вставьте следующее в адресную строку для быстрой навигации и нажмите Входить:

   КомпьютерHKEY_LOCAL_MACHINESYSTEMCurrentControlSetServicesNetlogonParameters

   Перейдите к клавише параметров

3. Создайте новое строковое значение в разделе Параметры по имени “Название сайта».

   Создайте строковое значение «SiteName»

   Щелкните правой кнопкой мыши Параметры ключ на левой панели, развернуть Новыйа затем щелкните Строковое значение. Назовите это значение «Название сайта“.

4. Дважды щелкните строку «Название сайта” и задайте для его Value Data полное доменное имя (FQDN) контроллера домена, на который вы хотите переключиться. Это будет примерно следующее:

   DC2.ИмяДомена.com

   Установите имя контроллера домена в качестве значения для SiteName в реестре Windows.

5. Теперь закройте редактор реестра и перезагрузите компьютер, чтобы изменения вступили в силу.

Когда компьютер перезагружается, ПК с Windows будет каждый раз автоматически подключаться к выбранному контроллеру домена.

Заключительные мысли

Как мы убедились во время тестирования этих методов, контроллер домена может быть поврежден при неправильной настройке. В такое время разумнее всего сменить контроллер домена, пока системные администраторы разрабатывают его. Вам не нужно нести убытки, вызванные неисправным контроллером домена.

В этой статье мы покажем вам как временные, так и постоянные способы смены контроллера домена, оставаясь в том же домене.

Похожие сообщения:

Используя подключение к удаленному рабочему столу, вы можете получить доступ к другому компьютеру в вашей сети/домене непосредственно с вашего собственного ПК с Windows. Однако пользователи часто сообщил что они не могут установить удаленное соединение, потому что их учетная запись пользователя не авторизована.

Эта ошибка существует уже некоторое время, еще до выпуска Windows 10. В сообщении об ошибке говорится следующее: «Соединение было отклонено, поскольку учетная запись пользователя не авторизована для удаленного входа в систему.».

Пользователь не авторизован для сообщения об ошибке удаленного подключения

В некоторых случаях также имеются сообщения о том, что пользователь смог успешно войти на удаленный компьютер, но ему пришлось использовать учетную запись пользователя, к которой у него обычно нет доступа.

В этой статье мы покажем вам, как решить проблему, устранить ошибку и успешно установить подключение к удаленному рабочему столу.

Почему учетная запись пользователя не авторизована для удаленного входа

Если вы читаете между строк в вышеупомянутом сообщении об ошибке, вы можете понять, что проблема связана с привилегиями и разрешениями учетной записи пользователя, которую вы используете для установки удаленного подключения. Заявление означает, что учетной записи пользователя не разрешено удаленно входить в систему на ПК.

При этом это не единственная причина, по которой может возникнуть эта проблема.

Другая причина возникновения ошибки «Соединение было отклонено, поскольку учетная запись пользователя не авторизована для удаленного входа в систему» ​​заключается в том, что зависимые службы Windows не запущены или настроен неправильный пользователь «Вход в систему».

Это в первую очередь две причины возникновения проблемы. Продолжайте читать и выполните все решения, приведенные ниже, чтобы устранить проблему.

Исправить учетную запись, не авторизованную для удаленного входа в систему

Добавьте группу пользователей удаленного рабочего стола, чтобы разрешить удаленные подключения

Среди многих пользователей и групп по умолчанию в ОС Windows одна такая группа помечена как «Пользователи удаленного рабочего стола». Всем членам учетных записей этой группы разрешено устанавливать подключения к удаленному рабочему столу, если они добавлены в правильную политику безопасности.

Мы разделили эту задачу на два процесса, представленных ниже. Следующие шаги необходимо выполнить на удаленном (целевом) ПК.

Добавить учетную запись пользователя в группу пользователей удаленного рабочего стола

Во-первых, вам нужно убедиться, что учетная запись, которую вы используете для установки удаленного подключения, является членом группы «Пользователи удаленного рабочего стола». Вот как вы можете это сделать:

1. Откройте консоль управления локальными пользователями и группами, введя «lusrmgr.msc» в поле «Выполнить команду».

   Откройте консоль «Локальные пользователи и группы».

2. Нажмите «Группы” на левой панели, а затем дважды щелкните группу “Пользователи удаленного рабочего стола».

   Откройте настройки группы пользователей удаленного рабочего стола.

3. Если вы не найдете учетную запись пользователя в списке под Членынажмите «Добавлять».

   Добавьте пользователей в группу пользователей удаленного рабочего стола

4. Введите имя добавляемой учетной записи пользователя, нажмите «Проверить имена», чтобы в поле была видна правильная учетная запись, а затем нажмите Хорошо.

   Выберите учетную запись пользователя для добавления

5. Нажмите Применять и Хорошо сохранить и применить изменения.

Теперь вы должны добавить эту группу в правильную локальную политику безопасности.

Разрешить вход через службы удаленных рабочих столов

1. Откройте редактор локальной политики безопасности, введя «secpol.msc» в поле «Выполнить команду».

   Откройте редактор политики безопасности.

2. Перейдите к следующему на левой панели:

   Настройки безопасности >> Локальные политики > Назначение прав пользователя

3. Дважды щелкните политику «Разрешить вход через службы удаленных рабочих столов».

   Разрешить вход через службы удаленных рабочих столов

4. Если «Пользователи удаленного рабочего стола» не отображаются в списке, нажмите «Добавить пользователя или группу».

   Добавьте пользователя или группу, чтобы разрешить вход через службу удаленного рабочего стола.

5. Во всплывающем окне нажмите «Типы объектов», затем установите флажок рядом с «Группы“, а затем щелкните Хорошо.

   Показать группы в результатах

6. Теперь нажмите Передовой.

   Откройте дополнительные настройки

7. Нажмите «Найти сейчас», а затем дважды щелкните «Пользователи удаленного рабочего стола» по результатам.

   Добавьте пользователей удаленного рабочего стола для разрешения через службы удаленных рабочих столов.

8. Теперь нажмите Хорошоа потом Применять и Хорошо чтобы сохранить изменения.

9. Теперь запустите следующий командлет в командной строке с повышенными привилегиями, чтобы применить новые изменения политики:

   GPUUpdate/Force

   Применить изменения политики

Теперь проверьте, можете ли вы теперь подключиться к удаленному ПК, используя ту же учетную запись.

Мы объединили два приведенных выше решения, потому что выполнение только одного из них может не иметь никакого эффекта, а другое решение не выполняется или соответствующая конфигурация неверна. Следовательно, выполнение обоих описанных выше решений с большей вероятностью уменьшит ошибку недостаточной авторизации.

Однако, если это не сработало для вас, продолжайте выполнять решение, представленное ниже.

Настройка правильного пользователя для входа в службу удаленного рабочего стола

Служба Windows»Служба удаленного рабочего стола” требуется учетная запись пользователя, которая используется для авторизации и установки успешного подключения к удаленному рабочему столу. Если настроена неверная учетная запись, вы можете увидеть ошибку «Учетная запись пользователя не авторизована для удаленного входа».

Выполните следующие действия, чтобы настроить правильного пользователя для входа в службу удаленных рабочих столов:

1. Откройте консоль служб, введя «services.msc» в поле «Выполнить команду».

   Откройте консоль служб

2. Двойной клик “Службы удаленных рабочих столов».

   Откройте службы удаленных рабочих столов

3. Переключиться на «Войтивкладка

4. Если “Сетевая служба” не выбран перед Этот аккаунтзатем нажмите Просматривать.

   Поиск учетных записей

5. Введите “Сетевая служба“, а затем нажмите “Проверить имена», чтобы отображалось полное имя учетной записи. Затем нажмите Хорошо.

   Поиск учетной записи сетевой службы

6. Теперь нажмите Применять и Хорошо.

Теперь проверьте, можете ли вы теперь получить удаленный доступ к этому компьютеру, используя ту же учетную запись пользователя.

Заключительные мысли

В этой статье обсуждается несколько решений для устранения сообщения об ошибке «Соединение было отклонено, поскольку учетная запись пользователя не авторизована для удаленного входа в систему», чтобы вы могли установить подключение к удаленному рабочему столу без необходимости изменять свою учетную запись пользователя.

Вы можете столкнуться с некоторыми другими решениями, которые также уменьшают проблему, но обратите внимание, что такие проблемы, как отключенный RDP, вызывают ошибку другого типа, а не ту, которую мы обсуждали в этом посте. Конечно, вы должны включить подключение к удаленному рабочему столу прежде всего, но это само собой разумеющееся.

Мы надеемся, что решения, представленные в этом посте, сработают для вас. Дайте нам знать, в чем заключается ваша проблема, в комментариях ниже, чтобы наши читатели могли извлечь из этого пользу.

Похожие сообщения: