限制出站 NTLM
NTLM 是横向移动与中继攻击的重灾区。加固方向是逐步把出站 NTLM 限制为仅域内或直接拒绝，同时开启对应审计事件，用事件定位仍然依赖 NTLM 的老系统。改造节奏不能太急：直接选拒绝所有会让老应用、SQL 链接服务器、打印机扫描等大量中断。
基本信息
| 适用平台 | Windows（域环境） |
|---|---|
| 风险等级 | 中 |
| 基线要求 | 出站 NTLM 已审计或已限制 |
| 注册表位置 | HKLM\SYSTEM\CurrentControlSet\Control\Lsa\MSV1_0 |
| 关键事件 | 8001 NTLM 审计 |
| 下发方式 | 组策略统一推送 |
典型使用场景
- 域内认证协议收敛项目
- 中继攻击防护的加固措施
- 排查哪些应用仍在使用 NTLM
- 老系统改造的排期与影响面评估
- 审计期结束后从审计切换到限制
- 域信任与跨域访问场景的例外评估
查看当前配置
查看当前配置
Get-ItemProperty 'HKLM:\SYSTEM\CurrentControlSet\Control\Lsa\MSV1_0' | Select-Object RestrictSendingNTLMTraffic, AuditReceivingNTLMTraffic, RestrictReceivingNTLMTraffic # 读取出站与入站相关配置
Get-WinEvent -FilterHashtable @{LogName='Microsoft-Windows-NTLM/Operational'; Id=8001} -MaxEvents 20 | Select-Object TimeCreated, Message # 查看 NTLM 审计事件GPO 路径
GPO 路径
# 计算机配置 → 策略 → Windows 设置 → 安全设置 → 本地策略 → 安全选项
# 「网络安全: 限制 NTLM: 向远程服务器发送 NTLM 流量」= 拒绝所有 或 审核所有
# 「网络安全: 限制 NTLM: 审核传入的 NTLM 流量」= 启用（先审计再收紧）配置项读法
| 配置项 | 含义 | 注意点 |
|---|---|---|
| RestrictSendingNTLMTraffic | 出站 NTLM 的限制级别 | 从审核开始逐步收紧 |
| AuditReceivingNTLMTraffic | 入站 NTLM 审计 | 用于摸清依赖面 |
| RestrictReceivingNTLMTraffic | 入站 NTLM 限制 | 需评估域内依赖 |
| 事件 8001 | NTLM 使用审计记录 | 统计仍在用 NTLM 的应用 |
| 审计周期 | 观察期长度 | 建议覆盖完整业务周期 |
直接选拒绝所有会让老应用、SQL 链接服务器、打印机扫描等大量中断：建议先审计一段时间，逐项改造之后再收紧。
审计模式不阻断流量但会记录事件：审计期必须安排专人运营 8001 事件，否则数据白采，改造清单也列不出来。
限制出站之后，如果 Kerberos 又不可用（老系统缺少 SPN），业务会直接受影响：需要逐个修复 SPN 才能平滑切换。