NTLM, dónde sigue viviendo y cómo medir su uso

NTLM funciona con un desafío y una respuesta: el servidor lanza un reto y el cliente demuestra que conoce la contraseña, sin enviarla. A diferencia de Kerberos, el servidor tiene que preguntar al controlador si la respuesta es correcta. Existe en dos versiones: la primera, NTLM V1, es débil y no debería usarse en ninguna parte; la segunda, V2, es mejor pero sigue siendo el protocolo viejo.

Kerberos necesita un nombre de servicio para pedir el ticket. Si la conexión se hace por dirección IP en lugar de por nombre, el cliente no puede pedirlo y el sistema vuelve a NTLM. También cae a NTLM cuando el equipo no pertenece al dominio, cuando el nombre de servicio no está registrado o cuando la aplicación solo sabe hablar NTLM.

ls ntlm
cat ntlm/4624-SRV-DOCS01.csv

El evento 4624 del servidor, con tipo de inicio 3 para las conexiones de red, dice con qué paquete se autenticó la sesión: Kerberos o NTLM. En el caso de NTLM, añade la versión. El archivo de ejemplo trae también el destino que usó el cliente, el nombre o la dirección con la que escribió el servidor.

Busca el equipo que se autentica con la versión del protocolo que no debería existir.

grep "NTLM V1" ntlm/4624-SRV-DOCS01.csv

Entre las sesiones con NTLM V2 hay unas que no tienen explicación de aplicación antigua: el destino usado no es un nombre sino una dirección. Eso se corrige sin tocar la aplicación, con un acceso directo o un mapeo de unidad que use el nombre del servidor. Es de los hallazgos más baratos de una retirada de NTLM.

cat ntlm/4624-SRV-DOCS01.csv

Una medición completa cuenta todas las sesiones con NTLM, sin importar la versión ni la causa, y las separa después. El evento 4776 del controlador deja constancia de las validaciones NTLM de cuentas de dominio; para las cuentas locales o de equipos fuera del dominio, el único rastro está en el servidor.

Cuenta las filas del registro del servidor cuyo paquete es NTLM.

grep -c NTLM ntlm/4624-SRV-DOCS01.csv

Comprueba el número contra las filas antes de responder.

La configuración de NTLM tiene directivas de auditoría y directivas de restricción, y cada restricción tiene su auditoría previa. Auditar deja pasar el tráfico y escribe en un registro lo que habría fallado; restringir lo corta. Abre la configuración y mira qué está sin configurar.

cat ntlm/politica-ntlm.txt