1 Frage zu Ntlm

Um festzustellen, ob in einer Active-Directory-Umgebung Kerberos oderLM verwendet wird, kannst du folgende Schritte unternehmen: 1. **Überprüfen der Gruppenrichtlinien**: - Öffne die Gruppenrichtlinienverwaltung (gpmc.msc). - Navigiere zu den Richtlinien, die auf die betreffenden Computer angewendet werden. - Überprüfe die Einstellungen unter `Computerkonfiguration -> Windows-Einstellungen -> Sicherheitseinstellungen -> Lokale Richtlinien -> Sicherheitsoptionen`. - Suche nach den Richtlinien `Netzwerksicherheit: LAN Manager-Authentifizierungsebene` und `Netzwerksicherheit: NTLM SSP-basierte (Sicherheitsunterstützungsanbieter) Clients`. 2. **Überprüfen der Ereignisprotokolle**: - Öffne die Ereignisanzeige (eventvwr.msc). - Gehe zu `Windows-Protokolle -> Sicherheit`. - Suche nach Ereignissen mit der ID 4768 (Kerberos-Ticket-Anforderung) oder 4771 (Kerberos-Vorautorisierungsfehler) für Kerberos. - Suche nach Ereignissen mit der ID 4624 (Anmeldung erfolgreich) und überprüfe das Feld `Anmeldeprozess`, das `NtLmSsp` für NTLM und `Kerberos` für Kerberos anzeigen kann. 3. **Netzwerkverkehr analysieren**: - Verwende ein Netzwerküberwachungstool wie Wireshark. - Führe eine Netzwerkaufzeichnung durch und filtere nach Kerberos (Port 88) oder NTLM (Port 445 oder 139) Verkehr. 4. **Überprüfen der Authentifizierungsmethoden auf dem Client**: - Melde dich an einem Client an und öffne eine Eingabeaufforderung. - Führe den Befehl `klist` aus, um die Kerberos-Tickets anzuzeigen, die der Client erhalten hat. - Wenn keine Kerberos-Tickets vorhanden sind, wird möglicherweise NTLM verwendet. Diese Methoden helfen dir, festzustellen, welche Authentifizierungsprotokolle in deiner Active-Directory-Umgebung verwendet werden.