| 条件一 | 目标未要求 SMB 签名 |
|---|---|
| 条件二 | 网段间可直达（含多网卡与无线） |
| 条件三 | 环境中仍大量使用 NTLM |
核查示例
核查示例
nmap --script smb2-security-mode -p445 10.0.10.0/24
# 记录：要求签名 / 未要求签名 / 不支持的清单加固优先：关键服务器要求签名 + 限制网络可达性 + 推进 Kerberos 与 EPA 类防护。
SMB 签名缺失与中继风险组合评估
中继类风险的成立条件：签名缺失 + 网络可达 + 存在认证流量；评估按三条件逐项核对，输出加固组合建议。
易错点
- 只看签名一项即下结论，忽略可达性条件
- 对兼容性差的旧设备直接强推签名导致中断
数据来源与参考
- Microsoft Learn（SMB 签名与中继防护）
- MITRE ATT&CK（中继类技术防护视角）