NTLM-AnalyzerNTLM-Statusbericht
Noch 28,1 % aller Anmeldungen laufen über NTLM.
Verlauf
NTLM-Anteil pro Woche – das Ziel ist die Nulllinie.
Fortschritt
Arbeitsliste aus dem Dashboard und Maschinen, die NTLM abschalten können.
Bereit zum Abschalten
Risiken und Sichtbarkeit
Was zuerst Aufmerksamkeit braucht – und wo das Bild unvollständig ist.
25 Anmeldungen mit NTLMv1 von 6 Konten, vor allem svc_scan, mfp_service, d.fischer und 3 weitere. NTLMv1 lässt sich knacken und gehört zuerst abgestellt.
4 Anmeldungen nutzen aus NTLMv1 abgeleitete Anmeldedaten. Mit der Umstellung im Oktober 2026 brechen sie von selbst.
Verdacht auf Password Spraying: UNKNOWN-PC ist mit 8 Konten gescheitert. Rechner und Ursache klären.
Das Bild ist unvollständig: 2 Maschinen mit abgeschaltetem Auditing, 36 Rechner nutzen NTLM ohne Agent.
26 Sitzungen ohne MIC-Schutz oder Channel Binding – über NTLM-Relay angreifbar.
Nächste Schritte
Aus den Daten abgeleitet, wichtigste zuerst.
- NTLMv1 abstellen bei svc_scan, mfp_service, d.fischer und 3 weitere. Auf den Rechnern dahinter LmCompatibilityLevel 5 setzen und Geräte, die nur NTLMv1 können, ersetzen oder isolieren.
- Vor Oktober 2026 die 2 Konten mit NTLMv1-abgeleiteten Anmeldedaten umstellen – sonst fallen sie mit der Umstellung aus.
- Password Spraying prüfen: UNKNOWN-PC ist mit 8 Konten gescheitert.
- Dienstnamen (SPN) in Ordnung bringen: 4 fehlen oder sind falsch registriert, zuerst cifs/nas01, http/intranet, cifs/archive01 und 1 weitere – dahinter 79 NTLM-Verbindungen. Die setspn-Befehle stehen im Dashboard.
- Häufigste Ursache angehen: Zielname per Kerberos nicht auflösbar (14×). SPN prüfen: fehlt, ist falsch oder doppelt (setspn -X findet Dubletten).
- „Restrict NTLM: Deny“ setzen auf 2 Maschinen, die seit 30 Tagen kein NTLM mehr nutzen: SRV-PRINT, WKS-0107.
Was noch offen ist
Die größten Posten nach Anzahl Anmeldungen im Zeitraum.
| Programm → Ziel | Anmeld. |
|---|---|
| msedge.exeoffen→ HTTP/intranet | 23 |
| explorer.exein Arbeit→ cifs/fs01.demo.nopcap.net | 17 |
| svchost.exeoffen→ ldap/dc01.demo.nopcap.net | 16 |
| Systemin Arbeit→ cifs/fs01.demo.nopcap.net | 12 |
| Veeam.Backup.Service.exein Arbeit→ cifs/nas01 | 12 |
| EXCEL.EXEoffen→ cifs/fs01.demo.nopcap.net | 9 |
| WINWORD.EXEoffen→ cifs/fs01.demo.nopcap.net | 6 |
| wsmprovhost.exein Arbeit→ HOST/app03 | 6 |
| explorer.exeoffen→ nas01 | 4 |
| java.exeoffen→ HTTP/erp-test | 3 |
| robocopy.exeoffen→ cifs/archive01 | 3 |
| Konto | Anmeld. |
|---|---|
| svc_backupvon 8 Rechnern zu 8 Servern | 27 |
| k.lorenzvon 11 Rechnern zu 7 Servern | 26 |
| m.beckervon 15 Rechnern zu 10 Servern | 26 |
| svc_sqlvon 11 Rechnern zu 9 Servern | 24 |
| j.schulzvon 22 Rechnern zu 9 Servern | 23 |
| p.neumannvon 14 Rechnern zu 8 Servern | 21 |
| t.hoffmannNTLMv1von 11 Rechnern zu 9 Servern | 20 |
| a.kleinvon 10 Rechnern zu 7 Servern | 18 |
| administratorvon 9 Rechnern zu 7 Servern | 16 |
| svc_monitorvon 9 Rechnern zu 9 Servern | 17 |
| svc_webvon 8 Rechnern zu 8 Servern | 17 |
| d.fischervon 12 Rechnern zu 9 Servern | 16 |
| s.wagnervon 8 Rechnern zu 7 Servern | 14 |
| svc_scanNTLMv1von 4 Rechnern zu 2 Servern | 12 |
| mfp_serviceNTLMv1von 2 Rechnern zu 2 Servern | 8 |