NTLM 使用面检查
NTLM 仍被大量老旧系统依赖，因此在很多环境里无法一次性禁用。它的认证过程相比更现代的机制更容易被中继与滥用，所以合理的路径是先在认证日志中统计使用来源，按系统与账号定位具体依赖，评估哪些可以迁移，再分批推进到更安全的认证方式。对暂时必须保留 NTLM 的关键系统，要加强防护措施。未经审计直接禁用会造成大面积认证失败，属于典型的高风险动作。
基本信息
| 核查内容 | 认证日志中的使用来源、相关策略配置现状 |
|---|---|
| 推进规划 | 按系统分批迁移到更安全的认证方式 |
| 监控要求 | 统计残留使用并对收敛进度设定目标 |
| 关键系统 | 优先加强签名与扩展保护等防护措施 |
典型使用场景
- 老旧业务系统：仅支持较早期的认证机制，迁移成本高
- 网络设备与存储：设备管理界面通过目录账号认证
- 扫描与打印设备：通过目录认证访问文件共享
- 跨域与信任：跨域场景下的认证路径更复杂
- 历史集成：第三方系统按当年规范对接，长期未升级
检查思路
检查思路
1. 采集认证日志，统计使用该认证方式的来源系统与账号
2. 标注分类：可迁移、依赖老旧系统、来源未知
3. 制定分批收敛计划，并为每批设定验证与回退方案
4. 对关键系统优先加强防护：签名、扩展保护与会话安全
5. 持续监控残留使用量，跟踪收敛进度处置阶段与动作
| 阶段 | 主要动作 | 风险控制 |
|---|---|---|
| 现状审计 | 统计使用来源并定位依赖 | 只读采集，不改配置 |
| 分类评估 | 区分可迁移与强依赖系统 | 与业务确认迁移代价 |
| 分批收敛 | 按批次调整并观察效果 | 保留回退方案 |
| 持续监控 | 跟踪残留使用与异常 | 设定收敛目标并定期复核 |
全面禁用 NTLM 风险很高：必须先完成审计取证，再分阶段推进，中途保留可回退的配置。