NTLM-AnalyzerNTLM-Statusbericht
Noch 27,5 % aller Anmeldungen laufen über NTLM.
Verlauf
NTLM-Anteil pro Woche – das Ziel ist die Nulllinie.
Fortschritt
Arbeitsliste aus dem Dashboard und Maschinen, die NTLM abschalten können.
Bereit zum Abschalten
Risiken und Sichtbarkeit
Was zuerst Aufmerksamkeit braucht – und wo das Bild unvollständig ist.
85 Anmeldungen mit NTLMv1 von 9 Konten, vor allem svc_scan, mfp_service, t.hoffmann und 6 weitere. NTLMv1 lässt sich knacken und gehört zuerst abgestellt.
12 Anmeldungen nutzen aus NTLMv1 abgeleitete Anmeldedaten. Mit der Umstellung im Oktober 2026 brechen sie von selbst.
Verdacht auf Password Spraying: UNKNOWN-PC ist mit 8 Konten gescheitert. Rechner und Ursache klären.
Das Bild ist unvollständig: 2 Maschinen mit abgeschaltetem Auditing, 135 Rechner nutzen NTLM ohne Agent.
108 Sitzungen ohne MIC-Schutz oder Channel Binding – über NTLM-Relay angreifbar.
Nächste Schritte
Aus den Daten abgeleitet, wichtigste zuerst.
- NTLMv1 abstellen bei svc_scan, mfp_service, t.hoffmann und 6 weitere. Auf den Rechnern dahinter LmCompatibilityLevel 5 setzen und Geräte, die nur NTLMv1 können, ersetzen oder isolieren.
- Vor Oktober 2026 die 2 Konten mit NTLMv1-abgeleiteten Anmeldedaten umstellen – sonst fallen sie mit der Umstellung aus.
- Password Spraying prüfen: UNKNOWN-PC ist mit 8 Konten gescheitert.
- Dienstnamen (SPN) in Ordnung bringen: 4 fehlen oder sind falsch registriert, zuerst cifs/nas01, http/intranet, cifs/archive01 und 1 weitere – dahinter 330 NTLM-Verbindungen. Die setspn-Befehle stehen im Dashboard.
- Häufigste Ursache angehen: Zielname per Kerberos nicht auflösbar (55×). SPN prüfen: fehlt, ist falsch oder doppelt (setspn -X findet Dubletten).
- „Restrict NTLM: Deny“ setzen auf 2 Maschinen, die seit 30 Tagen kein NTLM mehr nutzen: SRV-PRINT, WKS-0107.
Was noch offen ist
Die größten Posten nach Anzahl Anmeldungen im Zeitraum.
| Programm → Ziel | Anmeld. |
|---|---|
| Systemin Arbeit→ cifs/fs01.demo.nopcap.net | 148 |
| svchost.exeoffen→ ldap/dc01.demo.nopcap.net | 76 |
| explorer.exein Arbeit→ cifs/fs01.demo.nopcap.net | 65 |
| msedge.exeoffen→ HTTP/intranet | 62 |
| Veeam.Backup.Service.exein Arbeit→ cifs/nas01 | 43 |
| EXCEL.EXEoffen→ cifs/fs01.demo.nopcap.net | 25 |
| wsmprovhost.exein Arbeit→ HOST/app03 | 25 |
| robocopy.exeoffen→ cifs/archive01 | 24 |
| WINWORD.EXEoffen→ cifs/fs01.demo.nopcap.net | 21 |
| java.exeoffen→ HTTP/erp-test | 19 |
| explorer.exeoffen→ nas01 | 12 |
| excel.exeoffen→ cifs/archive01 | 1 |
| spoolsv.exeoffen→ cifs/fs01 | 1 |
| Konto | Anmeld. |
|---|---|
| svc_backupvon 32 Rechnern zu 10 Servern | 116 |
| t.hoffmannNTLMv1von 40 Rechnern zu 10 Servern | 93 |
| svc_sqlvon 41 Rechnern zu 10 Servern | 90 |
| m.beckervon 48 Rechnern zu 10 Servern | 87 |
| administratorvon 41 Rechnern zu 10 Servern | 84 |
| j.schulzvon 44 Rechnern zu 10 Servern | 85 |
| a.kleinvon 48 Rechnern zu 10 Servern | 83 |
| p.neumannvon 42 Rechnern zu 9 Servern | 83 |
| d.fischervon 41 Rechnern zu 10 Servern | 82 |
| k.lorenzvon 37 Rechnern zu 10 Servern | 78 |
| s.wagnervon 35 Rechnern zu 10 Servern | 75 |
| svc_monitorvon 20 Rechnern zu 10 Servern | 75 |
| svc_webvon 34 Rechnern zu 9 Servern | 72 |
| svc_scanNTLMv1von 4 Rechnern zu 3 Servern | 40 |
| mfp_serviceNTLMv1von 3 Rechnern zu 2 Servern | 30 |