中继风险的三个成立条件
中继类攻击不是靠单一缺陷成立的，需要同时满足：目标未要求 SMB 签名、攻击者所在的网络位置可以到达目标、环境中存在可被转发的认证流量（例如仍大量使用 NTLM）。评估做法是把这三个条件逐项核对，只要缺一项风险等级就要下调；加固也按组合来，而不是只改签名一项。
基本信息
| 条件一 | 目标未要求 SMB 签名 |
|---|---|
| 条件二 | 攻击者位置到目标可达（含多网卡、无线与访客网） |
| 条件三 | 环境中存在可被转发的认证流量，如仍广泛使用 NTLM |
| 加固方向 | 关键服务器要求签名 + 限制可达性 + 减少 NTLM 使用面 |
典型使用场景
- 域环境评估中的横向移动路径分析
- 文件服务器与共享存储的加固方案设计
- 访客网与办公网之间的隔离有效性核查
- 排查历史安全事件中的认证转发路径
- 为网络安全分区改造提供证据清单
核查示例
核查示例
nmap --script smb2-security-mode -p445 10.0.10.0/24 # 批量核查签名要求状态（授权范围内，限速）
# 记录分类：要求签名 / 未要求签名 / 不支持签名
# 结合网络可达性核查：哪些网段可直连到这些主机
# 结合认证方式：确认环境中的 NTLM 使用面与 Kerberos 覆盖情况条件核查与加固
| 条件 | 核查方式 | 加固措施 |
|---|---|---|
| 签名缺失 | SMB 签名状态核查（服务端配置或远程核查） | 关键服务器要求签名 |
| 网络可达 | 网段间可达性与防火墙策略核查 | 限制 445 端口跨网段访问 |
| 认证流量可转发 | 统计 NTLM 使用面 | 推进 Kerberos，启用扩展保护 |
| 降级可能 | 客户端签名策略核查 | 客户端同样要求签名 |
| 凭据暴露 | 凭据与配置文件中口令检查 | 轮换凭据并收敛共享账户 |
除了签名，认证通道的加固同样重要：对 Web 与邮件服务启用扩展保护（通道绑定）能显著降低转发认证的可用性，与签名措施形成互补。
对兼容性差的老旧设备强推签名会导致共享中断：先按设备分组做灰度验证，再按批次推进，并在变更窗口内准备回退方案。