Plan de retirada de NTLM leyendo la telemetría

5 tareas · 40 min · Principiante

Retirar NTLM no es un interruptor: es un proyecto que se hace con datos. Tejas y Ladrillos El Sinú dejó la auditoría activa durante treinta días y tiene un resumen por origen y destino, con el motivo de cada uso. Con eso se separa lo que se corrige con configuración, lo que exige actualizar una aplicación y lo que se queda como excepción con dueño y fecha. Lees la telemetría, el plan por fases y la lista de dueños, y dices qué va primero y qué no se puede tocar.

0 de 5 · 0%

Objetivo de la sala

Cerrar NTLM sin medir rompe a quien lo usa sin que nadie lo sepa: la impresora que escanea a una carpeta, la aplicación del horno, el equipo que no está en el dominio. La auditoría de treinta días, o un ciclo completo de negocio incluido el cierre de mes, es lo que da la lista de quién y por qué. Después se corrige por orden de facilidad y al final se bloquea con una lista de excepciones corta.

Abre el plan y la telemetría.

ls retirada
cat retirada/plan-por-fases.txt
cat retirada/ntlm-30-dias.csv

Responde para continuar

¿Por qué el plan pone la medición antes que el bloqueo?

Para cumplir un plazo del fabricante, que exige treinta días de auditoría antes de poder bloquear Para que los usuarios se acostumbren a los mensajes de error y avisen cuando algo no funcione Para saber quién depende de NTLM y por qué, y no romper aplicaciones que nadie recordaba

La columna de motivo clasifica cada uso. El acceso por dirección IP y los SPN que faltan o están repetidos se corrigen con configuración. Un equipo fuera del dominio se corrige uniéndolo. Las aplicaciones que solo hablan NTLM son otra cosa: requieren al proveedor. Separar los motivos dice cuánto del problema se resuelve en la fase 2 del plan.

Suma los eventos cuyo motivo es el acceso por dirección IP.

Responde para continuar

¿Cuántos eventos NTLM de los treinta días tienen como motivo el acceso por IP?

El volumen ordena el trabajo, no el riesgo. Un origen con muchos eventos puede ser una aplicación estable que se resuelve con una actualización, y uno con pocos puede ser una versión del protocolo que no debería existir. Aun así, hay que saber quién pesa más en la telemetría para decidir con quién empezar la conversación.

Responde para continuar

¿Qué origen genera más eventos NTLM en los treinta días?

El plan tiene cuatro fases y un criterio de paso. Una fila de la telemetría se coloca en la fase donde se resuelve: medir, corregir con configuración, resolver la aplicación o bloquear. Una fila con una causa de configuración no espera a la fase de aplicaciones.

Responde para continuar

Un grupo de portátiles accede al servidor de archivos escribiendo su dirección IP. ¿En qué fase del plan se resuelve?

En la fase 4, porque solo el bloqueo del dominio obliga a que los portátiles usen el nombre del servidor En la fase 2, con un acceso o un mapeo de unidad que use el nombre del servidor En la fase 1, porque medir ya implica cambiar cómo se conectan los portátiles

Cuando se bloquee, habrá destinos que se queden en una lista de excepciones. La condición que fija el plan es que cada una tenga dueño y fecha. Para decidir cuáles entran, la lista de dueños anota si el destino admite Kerberos o si no hay forma de que lo haga.

cat retirada/duenos-de-destinos.csv

Responde para continuar

¿Qué destino no tiene versión con Kerberos porque su proveedor lo descontinuó?

Inicia sesión para registrar tus puntos y progreso en el ranking.

Entrar · Registrarse

1 Por qué se mide antes de cerrar Lab

2 Lo que se arregla sin tocar la aplicación Lab

3 Quién genera más Lab

4 A qué fase pertenece cada cosa Lab

5 La excepción con motivo Lab

Whoami-Labs Pro utiliza cookies