ภาพรวมของการปรับปรุงการตรวจสอบ NTLM ใน Windows 11 เวอร์ชัน 24H2 และ Windows Server 2025

ในบทความนี้:

• บทนำ

• วัตถุประสงค์ของการเปลี่ยนแปลงการตรวจสอบ NTLM

• บันทึกการตรวจสอบ NTLM

• การจัดการนโยบายกลุ่ม

• ระดับการตรวจสอบ

• บันทึกของไคลเอ็นต์

• บันทึกของเซิร์ฟเวอร์

• บันทึกตัวควบคุมโดเมน

• ความสัมพันธ์ระหว่างเหตุการณ์ NTLM ใหม่และที่มีอยู่

• ข้อมูลการปรับใช้

บทนำ

บทความนี้จะให้ภาพรวมของการเปลี่ยนแปลงที่กําลังจะมาถึงของฟังก์ชันการตรวจสอบ NT LAN Manager (NTLM) ใน Windows 11 เวอร์ชัน 24H2 และ Windows Server 2025 การปรับปรุงเหล่านี้ออกแบบมาเพื่อเพิ่มความสามารถในการมองเห็นในกิจกรรมการรับรองความถูกต้อง NTLM ช่วยให้ผู้ดูแลระบบสามารถกําหนดข้อมูลประจําตัวของผู้ใช้ อัตราส่วนสําหรับการใช้งาน NTLM และตําแหน่งที่ตั้งเฉพาะที่ใช้ NTLM ภายในสภาพแวดล้อม การตรวจสอบที่ได้รับการปรับปรุงสนับสนุนการตรวจสอบความปลอดภัยที่ได้รับการปรับปรุงและการระบุการขึ้นต่อกันของการรับรองความถูกต้องแบบดั้งเดิม

วัตถุประสงค์ของการเปลี่ยนแปลงการตรวจสอบ NTLM

การรับรองความถูกต้อง NTLM ยังคงปรากฏอยู่ในสถานการณ์ขององค์กรต่างๆ ซึ่งมักเกิดจากแอปพลิเคชันและการกําหนดค่าดั้งเดิม เมื่อมีการประกาศการเลิกใช้ NTLM และการปิดใช้งานในอนาคต (ดูบล็อก Windows IT การพัฒนา การรับรองความถูกต้องของ Windows) คุณลักษณะการตรวจสอบที่อัปเดตมีวัตถุประสงค์เพื่อช่วยผู้ดูแลระบบในการระบุการใช้งาน NTLM ทําความเข้าใจรูปแบบการใช้งาน และการตรวจสอบความเสี่ยงด้านความปลอดภัยที่อาจเกิดขึ้น รวมถึงการใช้ NT LAN Manager เวอร์ชัน 1 (NTLMv1)

บันทึกการตรวจสอบ NTLM

Windows 11 เวอร์ชัน 24H2 และ Windows Server 2025 มีความสามารถในการบันทึกการตรวจสอบ NTLM ใหม่สําหรับไคลเอ็นต์ เซิร์ฟเวอร์ และตัวควบคุมโดเมน แต่ละคอมโพเนนต์จะสร้างบันทึกที่ให้ข้อมูลโดยละเอียดเกี่ยวกับเหตุการณ์การรับรองความถูกต้อง NTLM แฟ้มบันทึกเหล่านี้สามารถพบได้ใน ตัวแสดงเหตุการณ์ ภายใต้ แฟ้มบันทึกของโปรแกรมประยุกต์และบริการ > Microsoft > Windows > NTLM > Operational

เมื่อเทียบกับบันทึกการตรวจสอบ NTLM ที่มีอยู่ การเปลี่ยนแปลงการตรวจสอบที่ได้รับการปรับปรุงใหม่จะทําให้ผู้ดูแลระบบสามารถตอบ Who, the Why และ The Where:

• ใครกําลังใช้ NTLM รวมถึงบัญชีและกระบวนการบนเครื่อง

• เหตุใดจึงเลือกการรับรองความถูกต้อง NTLM แทนโพรโทคอลการรับรองความถูกต้องสมัยใหม่ เช่น Kerberos

• ตําแหน่งที่การรับรองความถูกต้อง NTLM เกิดขึ้น รวมถึงชื่อเครื่องและ IP ของเครื่อง

การตรวจสอบ NTLM ขั้นสูงยังให้ข้อมูลเกี่ยวกับการใช้งาน NTLMv1 สําหรับไคลเอ็นต์และเซิร์ฟเวอร์ ตลอดจนโดเมนการใช้งาน NTLMv1 ที่บันทึกโดยตัวควบคุมโดเมน ​​​​​​​

การจัดการนโยบายกลุ่ม

ฟีเจอร์การตรวจสอบ NTLM ใหม่สามารถกําหนดค่าได้ผ่านการตั้งค่านโยบายกลุ่มที่อัปเดตแล้ว ผู้ดูแลระบบสามารถใช้นโยบายเหล่านี้เพื่อระบุเหตุการณ์การรับรองความถูกต้อง NTLM ที่จะตรวจสอบ และจัดการพฤติกรรมการตรวจสอบระหว่างไคลเอ็นต์ เซิร์ฟเวอร์ และตัวควบคุมโดเมนตามความเหมาะสมสําหรับสภาพแวดล้อมของพวกเขา

ตามค่าเริ่มต้น จะเปิดใช้งานเหตุการณ์

• สําหรับการบันทึกไคลเอ็นต์และเซิร์ฟเวอร์ เหตุการณ์จะถูกควบคุมผ่านนโยบาย "NTLM Enhanced Logging" ภายใต้ เทมเพลตการดูแลระบบ > System > NTLM
  
  

• สําหรับการบันทึกทั่วทั้งโดเมนบนตัวควบคุมโดเมน เหตุการณ์จะถูกควบคุมผ่านนโยบาย "บันทึกแฟ้มบันทึกแฟ้มบันทึกแฟ้มบันทึก NTLM แบบขยายทั่วทั้งโดเมน" ภายใต้ เทมเพลตการดูแลระบบ > System > Netlogon
  
  

ระดับการตรวจสอบ

บันทึกการตรวจสอบ NTLM แต่ละบันทึกจะถูกแยกออกเป็นรหัสเหตุการณ์สองรหัสที่แตกต่างกันด้วยข้อมูลเดียวกันที่แตกต่างกันตามระดับเหตุการณ์เท่านั้น:

• ข้อมูล: ระบุเหตุการณ์ NTLM มาตรฐาน เช่น การรับรองความถูกต้อง NT LAN Manager เวอร์ชัน 2 (NTLMv2) ที่ตรวจไม่พบการลดความปลอดภัย

• คําเตือน: ระบุว่ามีการดาวน์เกรดของความปลอดภัยของ NTLM เช่น การใช้ NTLMv1 เหตุการณ์เหล่านี้เน้นการรับรองความถูกต้องที่ไม่ปลอดภัย เหตุการณ์อาจถูกทําเครื่องหมายเป็น "คําเตือน" สําหรับอินสแตนซ์ต่อไปนี้:

  • ตรวจพบการใช้งาน NTLMv1 โดยไคลเอ็นต์ เซิร์ฟเวอร์ หรือตัวควบคุมโดเมน

  • การป้องกันขั้นสูงสําหรับการรับรองความถูกต้องจะถูกทําเครื่องหมายว่าไม่ได้รับการสนับสนุนหรือไม่ปลอดภัย (สําหรับข้อมูลเพิ่มเติม ดู ที่ KB5021989: การป้องกันเพิ่มเติมสําหรับการรับรองความถูกต้อง)

  • คุณลักษณะความปลอดภัยของ NTLM บางอย่าง เช่น การตรวจสอบความสมบูรณ์ของข้อความ (MIC) จะไม่ถูกใช้

บันทึกของไคลเอ็นต์

บันทึกการตรวจสอบใหม่จะบันทึกความพยายามรับรองความถูกต้องของ NTLM ขาออก บันทึกเหล่านี้ให้รายละเอียดเกี่ยวกับแอปพลิเคชันหรือบริการที่เริ่มต้นการเชื่อมต่อ NTLM พร้อมกับเมตาดาต้าที่เกี่ยวข้องสําหรับคําขอการรับรองความถูกต้องแต่ละรายการ

การบันทึกไคลเอ็นต์มีเขตข้อมูลที่ไม่ซ้ํากัน Id/เหตุผลการใช้งาน ซึ่งเน้นสาเหตุที่ใช้การรับรองความถูกต้อง NTLM

บันทึกของเซิร์ฟเวอร์

บันทึกการตรวจสอบใหม่บันทึกความพยายามในการรับรองความถูกต้องของ NTLM ขาเข้า บันทึกเหล่านี้มีรายละเอียดที่คล้ายกันเกี่ยวกับการรับรองความถูกต้อง NTLM เป็นบันทึกของไคลเอ็นต์ รวมทั้งรายงานว่าการรับรองความถูกต้อง NTLM ประสบความสําเร็จหรือไม่

บันทึกตัวควบคุมโดเมน

ตัวควบคุมโดเมนได้รับประโยชน์จากการตรวจสอบ NTLM ที่ได้รับการปรับปรุง ด้วยบันทึกใหม่ที่บันทึกความพยายามในการรับรองความถูกต้อง NTLM ทั้งโดเมนที่สําเร็จและไม่สําเร็จ บันทึกเหล่านี้สนับสนุนการระบุการใช้งาน NTLM ข้ามโดเมน และแจ้งเตือนผู้ดูแลระบบให้ดาวน์เกรดที่อาจเกิดขึ้นในการรักษาความปลอดภัยการรับรองความถูกต้อง เช่น การรับรองความถูกต้อง NTLMv1

บันทึกตัวควบคุมโดเมนที่แตกต่างกันจะถูกสร้างขึ้นโดยขึ้นอยู่กับสถานการณ์ต่อไปนี้:

ความสัมพันธ์ระหว่างเหตุการณ์ NTLM ใหม่และที่มีอยู่

เหตุการณ์ NTLM ใหม่เป็นการปรับปรุงบนบันทึก NTLM ที่มีอยู่ เช่น ความปลอดภัยของเครือข่าย: จํากัดการรับรองความถูกต้อง NTLM ตรวจสอบ NTLM ในโดเมนนี้ การเปลี่ยนแปลงการตรวจสอบ NTLM ที่ได้รับการปรับปรุงไม่มีผลต่อบันทึก NTLM ปัจจุบัน แต่การเปลี่ยนแปลงเหล่านี้จะมีผลกับแฟ้มบันทึก NTLM ปัจจุบัน แต่การเปลี่ยนแปลงเหล่านี้จะไม่มีผลกับแฟ้มบันทึก NTLM ปัจจุบันแต่อย่างใด ถ้ามีการเปิดใช้งานบันทึกการตรวจสอบ NTLM ปัจจุบันแฟ้มบันทึกเหล่านั้นจะยังคงถูกบันทึกอยู่

ข้อมูลการปรับใช้

ตามการเปิดตัวฟีเจอร์ที่ควบคุมโดย Microsoft (CFR) การเปลี่ยนแปลงจะค่อยๆ เผยแพร่ไปยังเครื่อง Windows 11 เวอร์ชัน 24H2 ตามด้วยเครื่อง Windows Server 2025 รวมถึงตัวควบคุมโดเมนในภายหลัง

การเผยแพร่แบบค่อยเป็นค่อยไปจะแจกจ่ายการอัปเดตการเผยแพร่ในระยะเวลาหนึ่ง แทนที่จะเผยแพร่ทั้งหมดในครั้งเดียว ซึ่งหมายความว่าผู้ใช้จะได้รับการอัปเดตในเวลาที่ต่างกัน และอาจไม่มีให้ใช้งานโดยทันทีสําหรับผู้ใช้ทั้งหมด