多播名称解析的风险
LLMNR 与 NBT-NS 都是主机名解析失败时的兜底机制：系统会向本地网段广播询问目标是谁。问题在于广播是不认证的，任何主机都可以抢先应答。攻击者一旦应答，就能把受害主机引向自己，诱导其发起认证并捕获凭据哈希，用于离线破解或中继。核查的重点是这些协议在终端与服务器上的启用面，以及关停对遗留设备的影响。
基本信息
| 风险协议 | LLMNR 与 NBT-NS，均在名称解析失败时触发广播 |
|---|---|
| 常见端口 | LLMNR 使用 UDP 5355，NBT-NS 使用 UDP 137 |
| 后果 | 凭据被诱导提交，可能被离线破解或用于中继 |
| 处置方向 | 评估后通过策略关停，同时保留正常 DNS 解析 |
| 实施方式 | 分级试点，先小范围再全网 |
典型使用场景
- 办公网风险评估：确认终端是否普遍启用这两种解析机制
- 凭据外泄路径分析：解释凭据为何会在无访问行为时被捕获
- 关停规划：梳理依赖这些协议的遗留设备并安排保留清单
- 加固效果验证：关停后确认名称解析失败率没有异常上升
- 监控设计：为名称解析异常与伪造应答设置检测规则
检查要点
检查要点
1. 抽样核查协议启用状态：查看策略配置与终端实际生效值
2. 梳理依赖这些协议的遗留设备与专有系统清单
3. 制定分级关停计划，先试点小范围再推广
4. 关停后监控 DNS 解析质量与用户反馈指标
5. 保留回退方案，出现异常可快速恢复协议与处置对照
| 机制 | 端口 | 风险 | 处置 |
|---|---|---|---|
| LLMNR | UDP 5355 | 广播应答可被伪造 | 通过策略关闭多播名称解析 |
| NBT-NS | UDP 137 | 名称查询可被抢占 | 在网卡参数中关闭 NetBIOS 解析 |
| mDNS | UDP 5353 | 广播暴露设备与服务 | 按需保留，评估对外可见范围 |
| DNS 补充 | 53 | 解析失败时的既有兜底 | 保障解析正常后再关停兜底机制 |
关停前先试点：个别老设备依赖 NetBIOS 名称解析，需要单独保留或在 DNS 中补齐记录，避免设备找不到了。
全网一次性关停会造成批量名称解析失败：按分级推进并留下回退手段，比一次性全域调整更稳。