| 核查 | 认证日志中的 NTLM 使用、相关策略配置 |
|---|---|
| 规划 | 按系统分批推进 Kerberos/更安全的认证 |
| 监控 | 残留 NTLM 的审计与收敛目标 |
检查思路
检查思路
1. 采集认证日志统计 NTLM 使用来源（系统与账户）
2. 标注：可迁移 / 依赖老系统 / 未知
3. 制定分批收敛计划与审计策略
4. 对关键系统优先要求加强防护（签名、EPA）全面禁用 NTLM 风险高：先审计取证，再分阶段推进。
NTLM 使用面检查
NTLM 仍被大量老系统依赖：梳理使用面、评估可收敛范围，并规划向 Kerberos 迁移的路径。
易错点
- 未经审计直接禁用 NTLM，造成大面积认证失败
- 只统计总数不定位依赖系统
数据来源与参考
- Microsoft Learn（NTLM 审计与限制）
- Microsoft 安全基线