Kerberos 加密类型为什么要收
老一代 Kerberos 使用 RC4 与 DES：RC4 的强度在离线破解面前已经不够看，攻击者只要拿到服务票据就能在本地慢慢撞字典。把域内的允许加密类型收敛为 AES128/AES256，可以显著抬高「抓包后离线破解服务账号口令」的门槛。
基本信息
| 适用平台 | Windows 域环境（域控与成员机） |
|---|---|
| 核心注册表项 | HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System\Kerberos\Parameters 的 SupportedEncryptionTypes |
| 常见取值 | 24 表示 AES128 与 AES256（不再允许 RC4） |
| 组织方式 | 域级或机器级策略，域控与成员机都要覆盖 |
典型使用场景
- 域内安全加固：作为降低凭据窃取风险的标准动作之一
- 事件后加固：曾出现票据抓取类的攻击痕迹时，收敛加密类型属于必要补救
- 老应用迁移：先定位依赖 RC4 的服务账号，再分阶段收口域控
- 合规对标：微软与 CIS 基线都包含 Kerberos 加密类型相关条目
配置与核查
配置与核查
# 查看域控上的允许加密类型
Get-ItemProperty 'HKLM:\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System\Kerberos\Parameters' -Name SupportedEncryptionTypes -ErrorAction SilentlyContinue
# 也可以用 GPO：计算机配置 → 策略 → Windows 设置 → 安全设置 → 本地策略 → 安全选项
# 网络安全: 配置 Kerberos 允许的加密类型排查 RC4 依赖
排查 RC4 依赖
# 在域控上检索使用 RC4 的票据请求（事件 ID 4768/4769）
Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4768,4769} -MaxEvents 200 | Where-Object { $_.Message -match 'RC4|0x17' } | Select-Object TimeCreated, Id -First 20加密类型读法
| 类型 | 强度 | 处理建议 |
|---|---|---|
| AES256 | 最强，默认优先协商 | 目标状态 |
| AES128 | 强度足够 | 可与 AES256 并存 |
| RC4-HMAC | 弱，易被离线破解 | 收口目标，先排查依赖 |
| DES | 已废弃 | 一律移除，发现即视为异常 |
RC4 依赖往往来自老应用、旧设备与陈年服务账号：先把服务账号的加密类型属性改为仅 AES，再收口域控，否则会大面积认证失败。
排查期间必须同时核对时间同步：Kerberos 对时间偏差非常敏感，时钟漂移造成的认证失败极易被误判成加密类型问题。
变更要分阶段：先在域控上记录事件日志观察一段时间，确认没有 RC4 请求后再按站点或 OU 分批下发，回滚时也按批次撤回，保留每批的操作记录。