Veraltete Objekte

S-OldNtlm

Was es bedeutet

Windows unterstützt mehrere Authentifizierungsprotokolle, von sehr alten und unsicheren (LM, NTLMv1) bis hin zu modernen und sicheren (NTLMv2, Kerberos). Die älteren Protokolle haben bekannte Schwachstellen, die Angreifer ausnutzen können, um Passwörter im Netzwerk abzufangen und zu knacken.

Die LAN-Manager-Authentifizierungsstufe steuert, welche Protokolle zulässig sind. Es sollte auf Stufe 5 gesetzt werden, was bedeutet: „nur NTLMv2 akzeptieren, alle älteren Protokolle ablehnen.“

Was der Scan prüft

Der AD-Scan liest Gruppenrichtlinienobjekte (GPOs), um zu überprüfen, dass die LmCompatibilityLevel Einstellung auf 5 gesetzt ist. Wenn keine GPO diese Einstellung definiert, verwendet Windows standardmäßig Stufe 3, die immer noch einige schwächere Protokolle akzeptiert.

Stufe	Was es zulässt	Sicher?
0-2	LM und/oder NTLMv1	Nein
3	NTLMv2 (verweigert ältere Protokolle jedoch nicht)	Nein
5	Nur NTLMv2, LM und NTLMv1 ablehnen	Ja

Warum die Warnung bestehen bleiben kann

1. Sie haben die Registrierung direkt geändert anstatt eine GPO zu verwenden. Der AD-Scan liest GPO-Dateien, keine lokalen Registrierungseinstellungen. Selbst wenn der DC den richtigen Wert in der Registrierung hat, bleibt die Warnung bestehen, wenn er nicht über Gruppenrichtlinien gesetzt wurde.

2. Konfliktierende GPOs: Eine GPO setzt Stufe 5, aber eine andere GPO überschreibt sie mit einer niedrigeren Stufe.

3. Überhaupt keine GPO: Ohne GPO ist der Standard Stufe 3 (unsicher).

So diagnostizieren Sie

# Prüfen Sie die wirksame Einstellung auf jedem DC
Get-ADDomainController -Filter * | ForEach-Object {
  $level = Invoke-Command -ComputerName $_.HostName -ScriptBlock {
    (Get-ItemProperty "HKLM:\System\CurrentControlSet\Control\Lsa" `
      -Name LmCompatibilityLevel -ErrorAction SilentlyContinue).LmCompatibilityLevel
  }
  Write-Host "$($_.HostName): LmCompatibilityLevel = $level"
}

# Prüfen Sie, welche GPOs diese Einstellung definieren
Import-Module GroupPolicy
Get-GPO -All | ForEach-Object {
  [xml]$r = Get-GPOReport -Guid $_.Id -ReportType Xml
  if ($r.InnerXml -match "LmCompatibilityLevel") {
    Write-Host "GPO: $($_.DisplayName)"
  }
}

So beheben Sie es

Über die Gruppenrichtlinienverwaltungskonsole (empfohlen):

1. Öffnen Sie gpmc.msc

2. Bearbeiten Sie die GPO, die verknüpft ist mit OU=Domain Controllers

3. Navigieren Sie zu: Computer Configuration > Policies > Windows Settings > Security Settings > Local Policies > Security Options

4. Setzen Sie „Netzwerksicherheit: LAN-Manager-Authentifizierungsebene“ auf Nur NTLMv2-Antwort senden. LM & NTLM ablehnen

5. Setzen Sie „Netzwerksicherheit: LAN-Manager-Hashwert bei nächster Kennwortänderung nicht speichern“ auf Aktiviert

6. Führen Sie gpupdate /force auf allen Domänencontrollern aus

Über PowerShell:

$gpoName = "DC - NTLMv2 erzwingen"
$gpo = Get-GPO -Name $gpoName -ErrorAction SilentlyContinue
if (-not $gpo) { $gpo = New-GPO -Name $gpoName }

Set-GPRegistryValue -Name $gpoName `
  -Key "HKLM\System\CurrentControlSet\Control\Lsa" `
  -ValueName "LmCompatibilityLevel" -Type DWord -Value 5

Set-GPRegistryValue -Name $gpoName `
  -Key "HKLM\System\CurrentControlSet\Control\Lsa" `
  -ValueName "NoLMHash" -Type DWord -Value 1

New-GPLink -Name $gpoName `
  -Target "OU=Domain Controllers,$($(Get-ADDomain).DistinguishedName)" `
  -LinkEnabled Yes

S-AesNotEnabled

Was es bedeutet

Wenn Sie sich in Active Directory authentifizieren, wird Ihr Kennwort verwendet, um die Kommunikation mit einem bestimmten Algorithmus zu verschlüsseln. Ältere Algorithmen (DES, RC4) sind schwach und können relativ leicht geknackt werden. Moderne Algorithmen (AES-128, AES-256) sind wesentlich stärker.

Die Unterstützung für AES wurde mit Windows Server 2008 eingeführt. Konten, die jedoch vor dem Upgrade vorhanden waren, oder Konten mit bestimmten Konfigurationen verwenden möglicherweise weiterhin die alte, schwächere Verschlüsselung.

Was der Scan prüft

Ein Konto wird in zwei Situationen markiert:

1. Das Kennwort des Kontos wurde festgelegt, bevor Ihre Domäne auf Server 2008 aktualisiert wurde. Da AES-Verschlüsselungsschlüssel nur generiert werden, wenn ein Kennwort auf einem modernen DC gesetzt wird, verfügen diese alten Kennwörter nur über schwache RC4/DES-Schlüssel.

2. Das Konto hat einen Service Principal Name (SPN) und seine Verschlüsselungseinstellungen enthalten kein AES (die msDS-SupportedEncryptionTypes Attribut enthält keine AES-Kennzeichnungen).

So diagnostizieren Sie

# Dienstkonten ohne AES-Unterstützung finden
Get-ADUser -Filter 'ServicePrincipalName -like "*"' `
  -Properties ServicePrincipalName, "msDS-SupportedEncryptionTypes", PasswordLastSet |
  Where-Object { ([int]$_."msDS-SupportedEncryptionTypes" -band 24) -eq 0 } |
  Select-Object SamAccountName,
    @{N="EncryptionTypes"; E={$_."msDS-SupportedEncryptionTypes"}},
    PasswordLastSet

# Entsprechendes für Computerkonten
Get-ADComputer -Filter 'ServicePrincipalName -like "*"' `
  -Properties "msDS-SupportedEncryptionTypes" |
  Where-Object { ([int]$_."msDS-SupportedEncryptionTypes" -band 24) -eq 0 } |
  Select-Object Name, @{N="EncryptionTypes"; E={$_."msDS-SupportedEncryptionTypes"}}

So beheben Sie es

Für Konten mit alten Kennwörtern: Setzen Sie einfach das Kennwort zurück. Dadurch werden neue AES-Schlüssel erzeugt:

Set-ADAccountPassword -Identity "svc_account" `
  -NewPassword (ConvertTo-SecureString "YourNewStr0ngP@ssw0rd!" -AsPlainText -Force) -Reset

Für Konten, denen AES-Verschlüsselungseinstellungen fehlen: Aktivieren Sie AES in den Verschlüsselungstypen des Kontos:

# AES für ein bestimmtes Konto aktivieren (24 = AES-128 + AES-256)
Set-ADUser -Identity "svc_account" -Replace @{"msDS-SupportedEncryptionTypes" = 24}

# Für ein Computerkonto
Set-ADComputer -Identity "server01" -Replace @{"msDS-SupportedEncryptionTypes" = 24}

# Sammelbehebung für alle Dienstkonten ohne AES
Get-ADUser -Filter 'ServicePrincipalName -like "*"' `
  -Properties "msDS-SupportedEncryptionTypes" |
  Where-Object { ([int]$_."msDS-SupportedEncryptionTypes" -band 24) -eq 0 } |
  ForEach-Object {
    Set-ADUser $_ -Replace @{"msDS-SupportedEncryptionTypes" = 24}
    Write-Host "AES für $($_.SamAccountName) aktiviert"
  }

Hinweis: Das Aktivieren von AES ist nicht destruktiv: vorhandene Authentifizierung funktioniert weiter. Testen Sie jedoch kritische Dienste, bevor Sie die Änderung massenhaft anwenden.