| 加固项 | Kerberos 加密 |
|---|---|
| 适用平台 | Windows（域） |
| 风险等级 | 中 |
| 基线 | 加密类型仅 AES |
配置与核查
配置与核查
Get-ItemProperty 'HKLM:\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System\Kerberos\Parameters' -Name SupportedEncryptionTypes
# 24 = AES128 + AES256；GPO：网络安全: 配置 Kerberos 允许的加密类型排查 RC4 依赖（域控上）
排查 RC4 依赖（域控上）
Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4768,4769} -MaxEvents 50 | Where-Object {$_.Message -match '0x17|RC4' } | Select-Object TimeCreated, Id, MessageRC4 依赖（老应用、2003 时代系统、部分设备）是硬骨头：先改服务账号“使用 DES/RC4”属性为“仅 Kerberos AES”，再收口域控。