Data pierwotnej publikacji: 11 lipca 2025 r
Identyfikator KB: 5064479
Tematy w tym artykule:
- Wprowadzenie
- Cel zmian inspekcji NTLM
- Dzienniki inspekcji NTLM
- Zarządzanie zasadami grupy
- Poziomy inspekcji
- Dzienniki klienta
- Dzienniki serwera
- Dzienniki kontrolera domeny
- Związek między nowymi i istniejącymi zdarzeniami NTLM
- Informacje o wdrożeniu
- Dziennik zmian
Wprowadzenie
Ten artykuł zawiera omówienie nadchodzących ulepszeń inspekcji NT LAN Manager (NTLM) w systemie Windows 11, wersja 24H2 i nowsze oraz Windows Server 2019 i nowsze. Te ulepszenia zapewniają lepszy wgląd w działania uwierzytelniania NTLM, pomagając administratorom identyfikować, którzy użytkownicy polegają na NTLM, dlaczego jest on używany i gdzie jest używany w ich środowisku.
Rozszerzona inspekcja NTLM jest dostępna w następujących wersjach systemu Windows:
- Windows 11, wersja 24H2 i nowsza
- Windows Server 2025
- Windows Server 2022 r. (dostępne w aktualizacjach systemu Windows wydanych 13 października 2026 r. i po tej dacie (takich jak KB5126655)
- Windows Server 2019 r. (dostępne w aktualizacjach systemu Windows wydanych 13 października 2026 r. i po tej dacie (takich jak KB5126651)
Rozszerzona inspekcja usprawnia monitorowanie zabezpieczeń i ułatwia organizacjom identyfikowanie starszych zależności uwierzytelniania podczas przygotowywania się do zmniejszenia zależności od protokołu NTLM.
Cel zmian inspekcji NTLM
Uwierzytelnianie NTLM jest nadal obecne w różnych scenariuszach przedsiębiorstwa, często z powodu starszych aplikacji i konfiguracji. Wraz z ogłoszeniem wycofania protokołu NTLM i przyszłego wyłączenia (zobacz blog Windows IT: The evolution of Windows authentication ation) zaktualizowane funkcje inspekcji mają pomóc administratorom w identyfikowaniu użycia NTLM, zrozumieniu wzorców użytkowania i wykrywaniu potencjalnych zagrożeń bezpieczeństwa, w tym korzystania z menedżera NT LAN w wersji 1 (NTLMv1).
Dzienniki inspekcji NTLM
System Windows 11, wersja 24H2 i nowsze, systemy Windows Server 2025, Windows Server 2022 i Windows Server 2019 obsługują rozszerzone możliwości rejestrowania inspekcji NTLM dla klientów, serwerów i kontrolerów domeny. Każdy składnik generuje dzienniki, które zawierają szczegółowe informacje dotyczące zdarzeń uwierzytelniania NTLM. Te dzienniki można znaleźć w Podgląd zdarzeń w obszarze Dzienniki> aplikacji i usługMicrosoft>Windows>NTLM>Operational.
W porównaniu z istniejącymi dziennikami inspekcji NTLM nowe, ulepszone zmiany inspekcji umożliwiają administratorom odpowiadanie na pytania "Kto", "Dlaczego" i "Gdzie":
- Kto korzysta z NTLM, w tym konto i proces na komputerze.
- Dlaczego wybrano uwierzytelnianie NTLM zamiast nowoczesnych protokołów uwierzytelniania, takich jak Kerberos.
- Miejsce uwierzytelniania NTLM, w tym nazwa komputera i adres IP komputera.
Rozszerzona inspekcja NTLM udostępnia też informacje o wykorzystaniu protokołu NTLMv1 przez klientów i serwery, a także o użyciu protokołu NTLMv1 w całej domenie rejestrowane przez kontroler domeny.
Zarządzanie zasadami grupy
Nowe funkcje inspekcji NTLM można konfigurować za pomocą zaktualizowanych ustawień zasady grupy. Przy użyciu tych zasad administratorzy mogą określać, które zdarzenia uwierzytelniania NTLM są poddawane inspekcji, oraz zarządzać zachowaniem inspekcji na klientach, serwerach i kontrolerach domeny, odpowiednio do ich środowiska.
Zdarzenia są domyślnie włączone.
W przypadku rejestrowania klientów i serwerów zdarzeniami steruje zasada "Rozszerzone rejestrowanie NTLM" w obszarze System szablonów>> administracyjnychNTLM.
W przypadku rejestrowania w całej domenie na kontrolerze domeny zdarzenia są kontrolowane przez zasady "Rozszerzone dzienniki dzienników NTLM dla całej domeny" w obszarze Administrative Templates>System>Netlogon.
Poziomy inspekcji
Każdy dziennik inspekcji NTLM jest podzielony na dwa różne identyfikatory zdarzeń z tymi samymi informacjami, które różnią się tylko w zależności od poziomu zdarzenia:
- Informacje: Oznacza standardowe zdarzenia NTLM, takie jak uwierzytelnianie menedżera NT LAN w wersji 2 (NTLMv2), w przypadku których nie wykryto obniżenia poziomu zabezpieczeń.
Ostrzeżenie: wskazuje obniżenie poziomu zabezpieczeń NTLM, na przykład zastosowanie protokołu NTLMv1. Te zdarzenia podkreślają niezabezpieczone uwierzytelnianie. Zdarzenie może zostać oznaczone jako "Ostrzeżenie" w następujących przypadkach:
- Użycie protokołu NTLMv1 wykryte przez klienta, serwer lub kontroler domeny.
- Funkcja rozszerzonej ochrony przy uwierzytelnianiu jest oznaczona jako nieobsługiwana lub niezabezpieczona (aby uzyskać więcej informacji, zobacz KB5021989: Rozszerzona ochrona przy uwierzytelnianiu).
- Niektóre funkcje zabezpieczeń NTLM, takie jak sprawdzanie integralności wiadomości (MIC), nie są używane.
Dzienniki klienta
Nowe dzienniki inspekcji rejestrują wychodzące próby uwierzytelnienia przy użyciu protokołu NTLM. Te dzienniki zawierają szczegółowe informacje o aplikacjach lub usługach inicjujących połączenia NTLM wraz z odpowiednimi metadanymi dla każdego żądania uwierzytelnienia.
Funkcja rejestrowania klienta ma unikatowe pole ( Identyfikator/przyczyna użycia), w którym jest wskazywane przyczyna użycia uwierzytelniania NTLM.
Bieżące opisy pól "Identyfikator/przyczyna użycia"
| IDENTYFIKATOR | Opis |
|---|---|
| 0 | Nieznany powód. |
| 1 | Serwer NTLM został wywołany bezpośrednio przez aplikację wywołującą. |
| 2 | Uwierzytelnianie konta lokalnego. |
| 3 | ZAREZERWOWANE, obecnie nieużywane. |
| 4 | Uwierzytelnianie konta w chmurze. |
| 5 | Brakowało nazwy obiektu docelowego lub była pusta. |
| 6 | Protokół Kerberos lub inne protokoły nie mogły rozpoznać nazwy obiektu docelowego. |
| 7 | Nazwa docelowa zawiera adres IP. |
| 8 | Nazwa docelowa została zduplikowana w usłudze Active Directory. |
| 9 | Nie można ustanowić linii widoczności za pomocą kontrolera domeny. |
| 10 | Wywołano NTLM za pośrednictwem interfejsu sprzężenia zwrotnego. |
| 11 | Wywołano NTLM z sesją null. |
Przykładowy dziennik klienta
| Dziennik zdarzeń | Microsoft-Windows-NTLM/Operacyjny |
|---|---|
| Identyfikator zdarzenia | 4020 (Informacje), 4021 (Ostrzeżenie) |
| Źródło zdarzenia | NTLM |
| Tekst zdarzenia | Ten komputer próbował uwierzytelnić się w zasobie zdalnym za pośrednictwem NTLM. Informacje o procesie: Nazwa procesu: <Nazwa> Identyfikator PID procesu: <Identyfikator PID> Informacje o kliencie: Nazwa użytkownika: <Nazwa użytkownika> Domena: <Nazwa domeny> Hostname: <nazwa hosta> Sign-On Typ: <Pojedyncze Sign-On / dostarczone Creds> Informacje o celu: Maszyna docelowa: <Nazwa maszyny> Domena docelowa: <Domena komputera> Zasób docelowy: <główna nazwa usługi (SPN)> Docelowy adres IP: <Adres IP> Nazwa sieci docelowej: <Nazwa sieci> Użycie NTLM: Identyfikator przyczyny: <Identyfikator użycia> Przyczyna: <Powód użycia> Zabezpieczenia NTLM: Wynegocjowane flagi: <Flagi> Wersja NTLM: <NTLMv2 / NTLMv1>; Stan klucza sesji: <Obecny/Brak> Powiązanie kanału: <Obsługiwane / Nieobsługiwane> Powiązanie usługi: <Główna nazwa usługi (SPN)> Stan mikrofonu: <Chroniony / Niechroniony> AvFlags: <Flagi NTLM> Ciąg AvFlags: <Ciąg flagi NTLM> Aby uzyskać więcej informacji, zobacz aka.ms/ntlmlogandblock. |
Dzienniki serwera
Nowe dzienniki inspekcji rejestrują przychodzące próby uwierzytelnienia przy użyciu protokołu NTLM. Te dzienniki zawierają podobne informacje o uwierzytelnianiu NTLM jak dzienniki klienta, a także informują, czy uwierzytelnianie NTLM powiodło się, czy nie.
Przykładowy dziennik serwera
| Dziennik zdarzeń | Microsoft-Windows-NTLM/Operacyjny |
|---|---|
| Identyfikator zdarzenia | 4022 (Informacje), 4023 (Ostrzeżenie) |
| Źródło zdarzenia | NTLM |
| Tekst zdarzenia | Klient zdalny uwierzytelnia się na tej stacji roboczej przy użyciu uwierzytelniania NTLM. Informacje o procesie: Nazwa procesu: <Nazwa> Identyfikator PID procesu: <Identyfikator PID> Informacje o kliencie zdalnym: Nazwa użytkownika: <Nazwa użytkownika klienta> Domena: <Domena klienta> Komputer kliencki: Nazwa komputera klienckiego <> Adres IP klienta: <Adres IP klienta> Nazwa sieci klienta: <Nazwa sieciowa klienta> Zabezpieczenia NTLM: Wynegocjowane flagi: <Flagi> Wersja NTLM: <NTLMv2 / NTLMv1> Stan klucza sesji: <Obecny/Brak> Powiązanie kanału: <Obsługiwane / Nieobsługiwane> Powiązanie usługi: <Główna nazwa usługi (SPN)> Stan mikrofonu: <Chroniony / Niechroniony> AvFlags: <Flagi NTLM> Ciąg AvFlags: <Ciąg flagi NTLM> Stan: <Kod stanu> Komunikat o stanie: <Ciąg stanu> Aby uzyskać więcej informacji, zobacz aka.ms/ntlmlogandblock |
Dzienniki kontrolera domeny
Kontrolery domeny korzystają z rozszerzonej inspekcji NTLM z nowymi dziennikami, które rejestrują zarówno udane, jak i nieudane próby uwierzytelnienia NTLM dla całej domeny. Te dzienniki obsługują identyfikację użycia protokołu NTLM między domenami i ostrzegają administratorów o potencjalnych obniżeniach poziomu zabezpieczeń uwierzytelniania, takich jak uwierzytelnianie NTLMv1.
Różne dzienniki kontrolera domeny są tworzone w zależności od następujących scenariuszy:
Dziennik tej samej domeny
Gdy konto klienta i komputer serwera należą do tej samej domeny, tworzony jest dziennik podobny do poniższego:
| Dziennik zdarzeń | Microsoft-Windows-NTLM/Operacyjny |
|---|---|
| Identyfikator zdarzenia | 4032 (Informacje), 4033 (Ostrzeżenie) |
| Źródło zdarzenia | Security-Netlogon |
| Tekst zdarzenia | Nazwa> kontrolera domeny <przetworzyła przesłane dalej żądanie uwierzytelnienia NTLM pochodzące z tej domeny. Informacje o kliencie: Nazwa klienta: <Nazwa użytkownika> Domena klienta: <domena> Maszyna kliencka: <Kliencka stacja robocza> Informacje o serwerze: Nazwa serwera: <Nazwa komputera serwera> Domena serwera: <Domena serwera> IP serwera: <Adres IP serwera> System operacyjny serwera: <System operacyjny serwera> Zabezpieczenia NTLM: Wynegocjowane flagi: <Flagi> Wersja NTLM: <NTLMv2 / NTLMv1> Stan klucza sesji: <Obecny/Brak> Powiązanie kanału: <Obsługiwane / Nieobsługiwane> Powiązanie usługi: <Główna nazwa usługi (SPN)> Stan mikrofonu: <Chroniony / Niechroniony> AvFlags: <Flagi NTLM> Ciąg AvFlags: <Ciąg flagi NTLM> Stan: <Kod stanu> Komunikat o stanie: <Ciąg stanu> Aby uzyskać więcej informacji, zobacz aka.ms/ntlmlogandblock |
Dziennik między domenami
Jeśli konto klienta i serwer należą do różnych domen, wówczas kontroler domeny będzie miał różne dzienniki w zależności od tego, czy kontroler domeny należy do domeny, w której znajduje się klient (inicjuje uwierzytelnianie), czy gdzie znajduje się serwer (akceptując uwierzytelnianie):
Jeśli serwer należy do tej samej domeny co kontroler domeny obsługujący uwierzytelnianie, tworzony jest dziennik podobny do "dziennika tej samej domeny".
Jeśli konto klienta należy do tej samej domeny co kontroler domeny obsługujący uwierzytelnianie, tworzony jest dziennik podobny do następującego:
| Dziennik zdarzeń | Microsoft-Windows-NTLM/Operacyjny |
|---|---|
| Identyfikator zdarzenia | 4030 (Informacje), 4031 (Ostrzeżenie) |
| Źródło zdarzenia | Security-Netlogon |
| Tekst zdarzenia | Nazwa> kontrolera domeny <przetworzyła przesłane dalej żądanie uwierzytelnienia NTLM pochodzące z tej domeny. Informacje o kliencie: Nazwa klienta: <Nazwa użytkownika> Domena klienta: <domena> Maszyna kliencka: <Kliencka stacja robocza> Informacje o serwerze: Nazwa serwera: <Nazwa komputera serwera> Domena serwera: <Domena serwera> Przekazano z: Typ bezpiecznego kanału: <Netlogon Informacje o bezpiecznym kanale> Farside Name: <Cross-domain DC Machine Name> Domena Farside: <Cross-domain Domain Name> Farside IP: <Cross-domain DC IP> Zabezpieczenia NTLM: Wynegocjowane flagi: <Flagi> Wersja NTLM: <NTLMv2 / NTLMv1> Stan klucza sesji: <Obecny/Brak> Powiązanie kanału: <Obsługiwane / Nieobsługiwane> Powiązanie usługi: <Główna nazwa usługi (SPN)> Stan mikrofonu: <Chroniony / Niechroniony> AvFlags: <Flagi NTLM> Ciąg AvFlags: <Ciąg flagi NTLM> Stan: <Kod stanu> Aby uzyskać więcej informacji, zobacz aka.ms/ntlmlogandblock |
Związek między nowymi i istniejącymi zdarzeniami NTLM
Nowe zdarzenia NTLM rozszerzają istniejące dzienniki NTLM, takie jak Zabezpieczenia sieci: Ogranicz uwierzytelnianie NTLM Przeprowadź inspekcję uwierzytelniania NTLM w tej domenie. Ulepszone zmiany inspekcji NTLM nie mają wpływu na bieżące dzienniki NTLM. jeśli bieżące dzienniki inspekcji NTLM są włączone, dzienniki te będą nadal rejestrowane.
Informacje o wdrożeniu
Rozszerzona inspekcja NTLM jest dostępna w systemie Windows 11 w wersji 24H2 i nowszych oraz w systemie Windows Server 2025.
Od 13 października 2026 r. rozszerzona inspekcja NTLM jest dostępna również dla systemów Windows Server 2022 i Windows Server 2019. Aby korzystać z rozszerzonej inspekcji NTLM w tych wersjach, zainstaluj aktualizację systemu Windows wydaną 13 października 2026 r. lub później.
Po wdrożeniu odpowiedniej aktualizacji systemu Windows administratorzy mogą używać rozszerzonych zdarzeń NTLM do identyfikowania użycia NTLM na klientach, serwerach i kontrolerach domen oraz rozpocząć badanie zależności, które mogą uniemożliwiać uwierzytelnianie za pomocą protokołu Kerberos lub innego bezpieczniejszego protokołu uwierzytelniania.
Dziennik zmian
| Zmień datę | Zmienianie opisu |
|---|---|
| 13 października 2026 r. | Dodano informacje o tym, że dotyczy to teraz systemów Windows Server 2016 i Windows Server 2019, począwszy od aktualizacji systemu Windows wydanych 13 października 2026 r. i później. |