Подпись SMB и привязка канала LDAP — как на практике закрыть «вторую половину» защиты от NTLM

«Мы уже начали аудит NTLM и исправляем подключения, где IP-адрес прописан напрямую. Как же подготовиться к атакам ретрансляции за те месяцы, пока мы убираем все зависимости?»

Защитой на этот период служат подпись SMB, а также подпись LDAP и привязка канала LDAP. Это не настройки, которые останавливают сам NTLM, а настройки, которые блокируют на каждом узле назначения атаки, перенаправляющие аутентификацию в другое подключение. Выполняйте их параллельно со снижением зависимости от NTLM и рассматривайте как меры усиления, которые остаются и после отказа от NTLM.¹²

Порядок действий общий для обоих случаев: провести аудит → исправить подключающиеся приложения и устройства → применить принудительно. Правда, у SMB и LDAP различаются и проверяемые настройки, и события, которые нужно читать. В этой статье мы сначала разделим их роли, а затем опишем для каждого процедуру проверки, исправления и развёртывания.

Это третья статья серии об NTLM. Процедура аудита NTLM описана в статье «Остановит ли отказ от NTLM работу бизнес-приложений?», а устройство протоколов аутентификации — в статье «NTLM и Kerberos на схемах».

1. Сначала вывод: разделяем три защиты по узлу назначения

Подпись LDAP — это проверка целостности, LDAPS — TLS-шифрование всего подключения, а привязка канала — связь между аутентификацией и TLS-каналом. «Перешли на LDAPS» и «проверяем CBT» — не одно и то же. Кроме того, у простой привязки нет CBT, и она выпадает из проверки привязки канала. Подробно это разобрано в главах 5 и 6.³⁴

Для SMB в выпусках Windows 11 24H2 Enterprise, Pro и Education подпись требуется по умолчанию и при отправке, и при приёме, а в Windows Server 2025 — по умолчанию на стороне отправки. Home в область этого изменения не входит, поэтому проверяйте не только версию ОС, но и выпуск.⁵

Для LDAP, напротив, серия обновлений KB4520412, на которую ссылается эта статья, не меняет политику по умолчанию для подписи и привязки канала. Нужно различать установку обновления и настройку принудительного применения. Не превращайте описание из этого обновления в значение по умолчанию для любой ОС и любых условий внедрения — проверяйте конфигурацию той среды, которая перед вами.⁴

На схеме сплошная линия обозначает отношение, которое выполняется всегда, а пунктирная — условное отношение (условия указаны в пояснении к каждому отношению на странице сведений). Полный список отношений (всего 28, с доказательствами и степенью уверенности) и определения основных понятий собраны на странице сведений карты знаний (на японском). Данные: JSON-LD / Turtle

2. Зачем нужна подпись: защита параллельно со снижением зависимости от NTLM

2.1. Аутентификацию перенаправить можно, а правильную подпись создать нельзя

Коренной недостаток NTLM — отсутствие взаимной аутентификации. Клиент не может проверить подлинность сервера, поэтому злоумышленник может выдать себя за настоящий сервер, заставить клиента пройти аутентификацию и перенаправить этот ответ аутентификации настоящему серверу. Это и есть атака ретрансляции. Microsoft также описывает уязвимость аутентификации NTLM и NTLMv2 к SMB-ретрансляции и атакам «человек посередине».²

Если полностью отказаться от NTLM, такая ретрансляция NTLM становится невозможной. Однако инвентаризация и исправление зависимостей, о которых говорится в первой статье, занимают месяцы. Именно подпись защищает узлы назначения в это время.

flowchart LR
    CL["Клиент"]
    AT["Злоумышленник<br/>(поддельный сервер)"]
    SV["Настоящий сервер"]

    CL -->|"1. Ответ аутентификации"| AT
    AT -->|"2. Перенаправляет как есть"| SV
    SV -.->|"3. Если подпись обязательна:<br/>у злоумышленника нет сеансового ключа,<br/>и правильную подпись он создать не может, поэтому попытка не удаётся"| AT

Рис. 1: Злоумышленник, который лишь перенаправил ответ аутентификации, не может создать правильную подпись с помощью сеансового ключа

В результате аутентификации сеансовый ключ, используемый для подписи, есть у клиента и у настоящего сервера. Злоумышленник, лишь перенаправивший ответ аутентификации, этого ключа не имеет и не может подделать последующие сообщения в подключении, где подпись обязательна. Распределение ролей получается таким: для ретрансляции в SMB — подпись SMB, для ретрансляции в LDAP/LDAPS контроллера домена — подпись LDAP и привязка канала.

2.2. Даже сделав подпись обязательной, продолжайте переход на Kerberos

Чтобы усилить эффект подписи, проверьте и способ аутентификации. Сеансовый ключ происходит из пароля, поэтому рекомендуется использовать Kerberos, а не NTLMv2, чтобы начинать с более сильного ключа. Microsoft также указывает на недопустимость подключения к общей папке по IP-адресу или по CNAME.¹

Причина в том, что подключение по IP-адресу или по псевдониму, для которого не зарегистрирован соответствующий SPN, приводит к использованию NTLM, а не Kerberos. Регистрация SPN для псевдонимов, которые вы намерены использовать и дальше, разобрана в первой статье.

Снижение зависимости от NTLM и обязательная подпись — меры, которые выполняются одновременно. И обнаружение изменений с помощью подписи, и привязка канала действуют и для сеансов, аутентифицированных по Kerberos, поэтому это не настройки, которые снимают после отказа от NTLM.¹

3. Подпись SMB: проверяем устройство и значения по умолчанию

3.1. Разделяем «поддерживает» и «требует»

Подпись SMB добавляет подпись к каждому сообщению, используя сеансовый ключ и набор шифров. Подпись в заголовке SMB содержит хэш всего сообщения, а также идентификаторы отправителя и получателя, поэтому при изменении по пути она перестаёт совпадать. Это и есть обнаружение изменений, и именно оно защищает от подмены и ретрансляции.¹

Ось, по которой нужно смотреть на настройки, — не просто «включено или отключено», а требуется ли подпись. Начиная с SMB 2.x параметр EnableSecuritySignature игнорируется, и значение имеет только RequireSecuritySignature. Если подпись требует хотя бы одна из сторон — клиент или сервер, — это подключение подписывается. Без подписи подключение остаётся только тогда, когда её не требует ни одна из сторон.¹

Подпись действительно требует вычислений, но алгоритм прошёл путь от MD5 в SMB1 к HMAC-SHA-256 в SMB 2.02 и AES-CMAC в SMB 3.0, а в Windows Server 2022 и Windows 11 появилось ускорение на основе AES-128-GMAC. Не отказывайтесь от неё из-за старого впечатления, что подпись медленная: измерьте на пилотном компьютере и решайте по результату.¹

3.2. Проверяем ОС, выпуск и направления отправки и приёма

Сначала посмотрите выпуск и версию ОС в разделе «Параметры > Система > О системе». В таблице ниже «отправка» — это сторона, где компьютер подключается как клиент SMB, а «приём» — сторона, где он принимает подключения как сервер SMB. Найдите строку, к которой относятся ваши компьютеры и серверы.

Первые три строки — значения по умолчанию, которые Microsoft указывает явно.⁵ Последняя строка, контроллер домена, — отдельное давнее условие: он требует подпись SMB от всех, кто подключается к SYSVOL и NETLOGON. Распространение групповых политик и сценариев входа давно работает в расчёте на подпись.¹

Даже в Windows 11 24H2 выпуск Home не требует подписи ни при отправке, ни при приёме и в область этого изменения не входит. Объяснение «достаточно обновить машину с Home, и подпись станет обязательной» к нему не относится. Таблица не гарантирует будущих изменений и отдельных настроек, поэтому при сбое подключения проверьте выпуск, а затем и фактические значения настроек из раздела 4.1.⁵

В выпусках Enterprise, Pro и Education обновление до 24H2 делает подпись обязательной по умолчанию для SMB-подключений с этого компьютера. Сама Windows подпись поддерживает, поэтому сначала нужно инвентаризировать сторонние устройства, которые её не поддерживают или отключили. Проверьте старые NAS, настройки, связанные со сканированием в папку на МФУ, Samba на встраиваемом Linux и подобное.

4. Подпись SMB: проводим аудит, исправляем устройства, делаем подпись обязательной

4.1. Проверяем текущее требование подписи и управляющие им политики

# Требование подписи на стороне клиента (отправка)
Get-SmbClientConfiguration | FL RequireSecuritySignature

# Требование подписи на стороне сервера (приём)
Get-SmbServerConfiguration | FL RequireSecuritySignature

True означает, что подпись требуется, False — что не требуется. Проверять нужно сторону отправки и сторону приёма отдельно.⁵

В групповой политике эти параметры находятся в разделе Конфигурация компьютера\Конфигурация Windows\Параметры безопасности\Локальные политики\Параметры безопасности. Используйте следующие два параметра по их назначению.¹

Слово «всегда» (always) в названии политики и означает «обязательно». Если вы ещё не знаете, какие устройства не поддерживают подпись, не применяйте её принудительно ко всем сразу — переходите к аудиту ниже.

4.2. Находим собеседников без поддержки подписи с помощью аудита

Начиная с Windows 11 24H2 доступен аудит, который обнаруживает сторонние клиенты и серверы, не поддерживающие подпись или шифрование. Следующие команды включают его для подписи.¹

# Сторона сервера: обнаружить клиентов, не поддерживающих подпись
Set-SmbServerConfiguration -AuditClientDoesNotSupportSigning $true

# Сторона клиента: обнаружить серверы, не поддерживающих подпись
Set-SmbClientConfiguration -AuditServerDoesNotSupportSigning $true

Сторона сервера изучает подключающиеся к ней клиенты, сторона клиента — серверы, к которым она подключается. В групповой политике им соответствуют параметры вроде «Audit client does not support signing» в разделах Lanman Server и Lanman Workstation по пути Конфигурация компьютера\Административные шаблоны\Сеть.¹

У той же функции аудита есть -AuditClientDoesNotSupportEncryption / -AuditServerDoesNotSupportEncryption для поиска собеседников, не поддерживающих шифрование. Однако это подготовка к тому, чтобы в будущем сделать обязательным шифрование SMB. Есть устройства, которые поддерживают подпись, но не поддерживают шифрование, поэтому не примешивайте результаты аудита шифрования к решению о готовности обязательной подписи.¹

Журналы и идентификаторы событий, которые используют аудит подписи и шифрования, приведены ниже. Читайте и текст каждого события, чтобы убедиться, что это именно проблема подписи, которую мы здесь разбираем.¹

В «Просмотре событий» это проверяется так.

1. Откройте eventvwr.msc и перейдите в Журналы приложений и служб > Microsoft > Windows > SMBClient > Audit. Для стороны сервера откройте SMBServer > Audit на том же уровне.
2. В правой панели выберите «Фильтр текущего журнала» и укажите идентификаторы событий 31998,31999, а для стороны сервера — 3021,3022.
3. Откройте события, посмотрите тип проблемы и сведения о собеседнике и составьте список устройств, которые подписывать не могут.

Чтобы собрать их массово с помощью PowerShell, используйте следующий пример.

# Сторона клиента: события аудита, обнаружившие серверы без поддержки подписи
Get-WinEvent -FilterHashtable @{ LogName='Microsoft-Windows-SMBClient/Audit'; Id=31998,31999 } -ErrorAction SilentlyContinue |
    Select-Object TimeCreated, Id, Message

# Сторона сервера: события аудита, обнаружившие клиентов без поддержки подписи
Get-WinEvent -FilterHashtable @{ LogName='Microsoft-Windows-SMBServer/Audit'; Id=3021,3022 } -ErrorAction SilentlyContinue |
    Select-Object TimeCreated, Id, Message

Этот пример получает идентификаторы аудита подписи и шифрования вместе. Не считайте все показанные события случаями отсутствия поддержки подписи; разделяйте подпись и шифрование по Message.

Если подходящих событий нет — например, сразу после включения аудита, — Get-WinEvent вернёт ошибку «события не найдены». -ErrorAction SilentlyContinue в примере нужен, чтобы её подавить. О том, как писать фильтры, смотрите также «Разбираем журнал событий на практике с Get-WinEvent».

Период аудита, как и при аудите NTLM, нужно выдержать до полного оборота бизнес-цикла. Журналов сразу после включения недостаточно, чтобы считать, что проверены все узлы назначения.

4.3. Исправляем ошибки подписи и блокировку гостевого доступа по отдельности

При подключении из среды, где подпись обязательна, к устройству, которое подписывать не может, возникает следующая ошибка.⁵

0xc000a000
STATUS_INVALID_SIGNATURE
The cryptographic signature is invalid.

Второй случай — отказ в гостевом доступе. На подключении, где подпись обязательна, гостевой доступ тоже невозможен, поэтому NAS, используемый без аутентификации, выдаёт ошибку такого вида.⁵

You can't access this shared folder because your organization's security policies
block unauthenticated guest access.

Первое средство — включить подпись SMB на самом устройстве и подключаться с учётными данными, а не как гость. При необходимости рассмотрите обновление прошивки или изменение пути подключения.

Обходной путь с Set-SmbClientConfiguration -RequireSecuritySignature $false на клиенте ослабляет только сторону ошибки подписи. Блокировка гостевого доступа управляется ещё и отдельной клиентской настройкой, запрещающей небезопасные гостевые входы, поэтому снятие требования подписи само по себе не устраняет отказ в гостевых подключениях.

Microsoft не рекомендует ни отключать подпись как обходной путь для сторонних устройств, ни пытаться использовать подпись с гостевыми учётными записями.⁵ Даже если ослабить что-то действительно нужно, не делайте это обычной практикой: ведите это как временное исключение до замены устройства.

4.4. Переходим от пилота к полному развёртыванию

Чем больше выпусков попадает под 24H2 и более поздние версии, тем чаще подпись становится обязательной на стороне клиента по умолчанию. Фактический срок задаёт ваш план обновления ОС, поэтому включите этот аудит и исправление устройств в подготовительные работы к переходу на Windows 11. О стратегии перехода с Windows 10 рассказано в статье «Варианты после окончания поддержки Windows 10».

5. Подпись LDAP: сначала проверяем виды привязок, потом применяем принудительно

После SMB идут LDAP-подключения к контроллерам домена и AD LDS. Трафик LDAP без подписи уязвим к атакам воспроизведения и атакам «человек посередине», и сервер рискует принимать решения на основе перехваченных и изменённых запросов.³

Сначала разделим виды «привязки» (bind), используемой для аутентификации.

Обязательная подпись LDAP отклоняет SASL-привязки, не требующие подписи, и простые привязки по незашифрованным (не SSL/TLS) подключениям. Подпись — это проверка целостности, отдельная от шифрования. У простой привязки механизма подписи нет, поэтому для всего, что должно продолжать использовать простые привязки, решение — перевести это на LDAPS.³

5.1. События читаем раздельно: «количество» и «источник»

И подпись LDAP, и привязка канала из следующей главы используют журнал Directory Service контроллера домена. В «Просмотре событий» откройте Журналы приложений и служб > Directory Service.

Различие, которое нужно проводить, — между сводными событиями, показывающими, сколько ещё осталось (2887 и 3040), и отдельными событиями, по которым определяется источник (2889, 3039, 3074 и 3075). Пока проблемные подключения остаются, их исправляют, а не переходят к принудительному применению.

Фраза «доступны без ручного включения» в таблице описывает, что обновление делает функцию аудита пригодной к использованию. Не читайте её так, будто события всегда появляются при любой конфигурации: сверяйте ОС, установленные обновления и диагностические параметры с KB4520412. То, что простые привязки выпадают из проверки CBT, тоже разбирается в главе 6.⁴

5.2. По 2887 смотрим, сколько осталось, по 2889 находим источник

Для подписи LDAP используются 2886, 2887, 2888 и 2889. 2886 — напоминание, побуждающее настроить подпись, 2887 — сводка проблемных привязок за 24 часа, 2888 — сводка после настройки отклонения. Только 2889, по которому узнают источник, по умолчанию отсутствует.³

Сначала проверьте по 2887, остались ли привязки без подписи. Если количество ненулевое, задайте диагностическому параметру «16 LDAP Interface Events» значение 2 (Basic), чтобы событие 2889 записывалось, и выясните IP-адрес источника и идентификатор, использованный для аутентификации.³

2889 — это не сводка, а запись по каждой затронутой привязке. В среде, где остаются высокочастотные подключения, он быстро заполняет журнал Directory Service, поэтому после определения источников верните диагностический параметр на прежний уровень (по умолчанию 0). Если вы намерены записывать его постоянно, сначала обеспечьте пересылку и хранение журналов.

Искать нужно среди аутентификации AD и интеграции с кадровыми системами в бизнес-системах, поиска по адресной книге LDAP на МФУ, аутентификации LDAP на сетевом оборудовании и подобного. Особенно часто устройства настроены на простую привязку по открытому тексту, поэтому проверьте их настройки LDAP. Исправление — переход на LDAPS (порт 636) или на SASL-привязку с подписью. Конкретные примеры собраны в главе 7.

5.3. После исправлений требуем подпись и проверяем поведение при отклонении

Когда источники исправлены, настройте следующее в групповой политике.³

Для проверки конфигурации используйте ldp.exe. Подключитесь к порту 389 без TLS и попробуйте простую привязку: если получите следующую ошибку, настройка отклонения действует. Это проверка поведения при отклонении, а не процедура использования привязок по открытому тексту в рабочей среде. Выполняйте её с тестовыми учётными данными.³

Ldap_simple_bind_s() failed: Strong Authentication Required

6. Привязка канала LDAP: проверяем и аутентификацию поверх LDAPS

6.1. TLS-шифрование и привязка аутентификации к каналу — разные вещи

LDAPS шифрует трафик с помощью TLS. Однако одной лишь шифровки недостаточно против ретрансляции, при которой клиента заставляют аутентифицироваться, а затем перенаправляют эту аутентификацию в отдельное TLS-подключение самого злоумышленника. Токен привязки канала (CBT) — это значение, которое связывает аутентификацию с самим этим TLS-каналом и делает обнаруживаемой ретрансляцию в другой канал.⁴

Он охватывает подключения, выполняющие аутентификацию Windows (SASL-привязку), например NTLM или Kerberos, поверх LDAPS. У простой привязки нет CBT, и она выпадает из этой проверки. Простую привязку поверх LDAPS защищают TLS-шифрование и управление учётными данными; установка значения Always не приведёт к тому, что клиенты с простой привязкой появятся в событиях аудита CBT.

6.2. Сопоставляем значения 0, 1 и 2 с параметрами политики

Управление выполняется через реестр контроллера домена или через соответствующий параметр групповой политики.⁴

When supported и Always — не одно и то же. Отделяйте этап, на котором проверяются поддерживающие клиенты, от этапа, на котором проверка всегда требуется для охваченных подключений, и переходите к Always только после того, как убедитесь в состоянии поддержки.

6.3. Находим источники по 3039, 3040, 3074 и 3075

Если разобрать события привязки канала из сводной таблицы раздела 5.1 подробнее, получится следующее. Обновление от 10 марта 2020 года добавило связанные события, а обновления с 2023 года расширили аудит.⁴

Процедура развёртывания у Microsoft такая же по порядку: следить в журнале Directory Service на каждом контроллере домена за событиями 2889, 3039 и 3074/3075, определять проблемные устройства, уточнять их состояние у поставщика и применять принудительно только после того, как они обработаны.⁴

Не считайте работу законченной уже потому, что используется LDAPS: смотрите и на способ аутентификации, и на поддержку CBT. Различие, проведённое в разделе 6.1, говорит и о том, что простые привязки, не входящие в область охвата, не нужно искать только по событиям CBT.

6.4. Не заключайте, что установка обновления уже означает принудительное применение

KB4520412 указывает, что обновление от 10 марта 2020 года и серия обновлений, которую рассматривает этот документ, не меняют политику по умолчанию для подписи LDAP и привязки канала.⁴

Поэтому в среде, где обновление только установлено и ничего не применено принудительно, работа по настройке остаётся за администратором. Не путайте это с изменением значений по умолчанию для SMB в 24H2: отдельно проверяйте, что функция аудита доступна и что защита применяется принудительно. Пока время применения ещё можно выбирать, планируйте и выполняйте исправления на стороне источников.

7. Исправляем бизнес-приложения и устройства по причинам

7.1. Сопоставляем собеседников из событий со способом исправления

Отсутствие поддержки подписи, гостевой режим, простые привязки по открытому тексту и отсутствие поддержки CBT исправляются в разных местах. Даже если симптом один и тот же — «не подключается», не ослабляйте настройки огульно: выбирайте действие по событию и способу подключения.

7.2. В .NET-приложениях проверяем способ аутентификации и настройки TLS

В собственном .NET-приложении сначала проверьте, не отправляет ли оно простую привязку с AuthType.Basic на порт 389 по открытому тексту. Ниже — плохой пример, который будет отклонён после того, как подпись LDAP станет обязательной. Это не пример для запуска с реальными учётными данными.

// Плохой пример: простая привязка на порт 389 по открытому тексту. Будет отклонена после включения обязательной подписи LDAP
var conn = new LdapConnection("dc01.corp.example.com");
conn.AuthType = AuthType.Basic;
conn.Bind(new NetworkCredential(user, password));

Для исправления, если в доменной среде есть выбор, за основу берут Negotiate вместе с требованием подписи и шифрования. Если простая привязка необходима, используют LDAPS. Два примера ниже — выдержки, противопоставляющие эти варианты. Они не предназначены для выполнения подряд после плохого примера выше.

// Хороший пример 1: требуем Negotiate вместе с подписью и шифрованием (Kerberos выбирается, когда сходятся SPN и разрешение имён)
var conn = new LdapConnection("dc01.corp.example.com");
conn.AuthType = AuthType.Negotiate;
conn.SessionOptions.Signing = true;
conn.SessionOptions.Sealing = true;
conn.Bind();  // Аутентификация под учётной записью, от имени которой выполняется процесс

// Хороший пример 2: если используете простую привязку, всегда переходите на LDAPS
var id = new LdapDirectoryIdentifier("dc01.corp.example.com", 636);
var conn2 = new LdapConnection(id);
conn2.SessionOptions.SecureSocketLayer = true;
conn2.AuthType = AuthType.Basic;
conn2.Bind(new NetworkCredential(user, password));

Negotiate в хорошем примере 1 предпочитает Kerberos, но не заставляет его использовать. При таких условиях, как подключение по IP-адресу или незарегистрированный либо дублирующийся SPN, он откатывается к NTLM. Даже в этом случае требование подписи и шифрования, заданное в коде, продолжает действовать.

Чтобы убедиться, что аутентификация проходит по Kerberos, проверьте с помощью klist, что билет для нужной службы получен. Если в первой статье исходящий аудит NTLM настроен на «Аудит всех», отсутствие события 8001 тоже служит косвенным подтверждением. Однако судить по «нет 8001», пока политика аудита отключена, бессмысленно.

Простая привязка в хорошем примере 2 шифруется TLS, но не подпадает под проверку CBT. Важно не рассматривать её как ту же защиту, что и хороший пример 1. Если используется DirectoryEntry (ADSI), явно задайте AuthenticationTypes.Secure | AuthenticationTypes.Signing | AuthenticationTypes.Sealing.

Принцип записывать узел назначения как FQDN, а не как IP-адрес, относится и к SASL-привязкам с Kerberos. Исправляйте вместе с ним разрешение имён и SPN, а не заканчивайте на смене только способа аутентификации в коде.

8. Итог: аудит, исправление и принудительное применение доводим до конца на каждом пути

Подпись SMB, подпись LDAP и привязка канала LDAP — не замена настройкам, которые останавливают NTLM. Это защиты, предотвращающие ретрансляцию, пока вы снижаете зависимость от NTLM, и постоянные меры усиления, которые остаются и после перехода на Kerberos.¹²

Для SMB проверьте ОС, выпуск и значения по умолчанию для отправки и приёма, а сначала исправьте устройства без поддержки подписи и схемы с гостевым доступом. План обновления до затронутых выпусков Windows 11 24H2 становится сроком для этой подготовки. Для LDAP исследуйте привязки без подписи по 2887 и 2889, а проблемы, связанные с CBT, — по 3039, 3040, 3074 и 3075, и применяйте принудительно только после исправления источников.⁵³⁴

Установка обновления, включение функции аудита и принудительное применение защиты — разные этапы. В частности, не делайте вывода, что принудительное применение выполнено, только потому, что установлены обновления LDAP из KB4520412. Проверяйте это с учётом того, что простые привязки выпадают из проверки CBT.⁴

В собственных приложениях уже одно устранение простых привязок по открытому тексту и жёстко прописанных IP-адресов даёт большое улучшение. Судите о финише не по «мы изменили настройку», а по тому, завершили ли вы полный бизнес-цикл аудита и исправлений, подтвердили поведение на пилоте и после этого перешли к принудительному применению.

Похожие статьи

• Остановит ли отказ от NTLM работу бизнес-приложений? — как собрать журналы аудита и в каком порядке убирать зависимости
• NTLM и Kerberos на схемах — почему аутентификация «падает» на NTLM
• Подводные камни сетевых дисков и путей UNC — работа с файловым сервером (общими папками) из бизнес-приложения
• Разбираем журнал событий на практике с Get-WinEvent — скорость фильтрации определяет, сколько займёт расследование
• Реальные варианты после окончания поддержки Windows 10 — таблица решений по ESU, LTSC и замене
• Минимальный чек-лист безопасности для разработки приложений Windows

Смежные области консультаций

Komura Software LLC занимается доработкой бизнес-приложений, связанной с введением обязательной подписи SMB и LDAP, а также расследованием сбоев подключения в области аутентификации и общего доступа к файлам.

• Разработка приложений для Windows
• Исследование ошибок и анализ первопричин
• Повторное использование и перенос существующих активов
• Контакты

Справочные материалы

Похожие статьи

Недавние статьи с теми же тегами помогут подробнее изучить близкие темы.

Связанные темы

Эти страницы показывают тему статьи в более широком контексте услуг и решений.

Услуги по этой теме

Статья напрямую связана со следующими услугами.

Частые вопросы

Вопросы, которые часто возникают при консультациях по теме статьи.

Если сделать подпись SMB обязательной, файловый сервер не станет медленнее?

Вычислительные затраты на подпись не нулевые, но алгоритм улучшается с каждым поколением. Вместо MD5 в SMB1 в SMB 2.02 используется HMAC-SHA-256, а в SMB 3.0 — AES-CMAC, и в Windows Server 2022 и Windows 11 появилось ускорение подписи на основе AES-128-GMAC. Кроме того, контроллеры домена уже давно требуют подпись SMB от всех, кто подключается к SYSVOL и NETLOGON, поэтому распространение групповых политик всегда работало в расчёте на подпись. Прежде чем отказываться от неё из соображений производительности, рекомендуем сначала сделать подпись обязательной на пилотном компьютере и измерить результат. Заметная разница возникает лишь в отдельных сценариях, например при непрерывной передаче больших файлов.

После перехода на Windows 11 24H2 перестал подключаться NAS. Причина в подписи SMB?

Как правило, да. В выпусках Windows 11 версии 24H2 Enterprise, Pro и Education подпись SMB требуется по умолчанию и при отправке, и при приёме, поэтому подключение к стороннему NAS, который подпись не поддерживает (или отключил её), завершается ошибкой 0xc000a000 (STATUS_INVALID_SIGNATURE). Поскольку обязательная подпись сопровождается и отключением гостевого доступа, NAS, настроенный на работу без аутентификации, выдаёт ошибку «Не удаётся получить доступ к этой общей папке, так как политики безопасности организации блокируют неаутентифицированный гостевой доступ». Первое средство — включить подпись SMB на стороне NAS и подключаться не как гость, а с учётными данными. Есть и обходной путь на стороне клиента, отключающий требование подписи, но он снимает только часть, связанную с ошибкой подписи. Блокировка гостевых подключений управляется отдельной клиентской настройкой — запретом небезопасных гостевых входов, — а не подписью, поэтому без её ослабления подключения продолжат падать. Microsoft не рекомендует ни отключать подпись, ни работать с гостевыми учётными записями.

Чем отличается подпись LDAP от LDAPS (LDAP over SSL/TLS)?

Это разные вещи. Подпись LDAP требует проверки целостности (подписи) для SASL-привязок (Negotiate, Kerberos, NTLM, Digest), выполняемых поверх LDAP-подключения на порту 389, и не шифрует трафик. LDAPS шифрует всё подключение по SSL/TLS. А привязка канала LDAP — это ещё один уровень поверх LDAPS: связывая аутентификацию с TLS-каналом, она предотвращает атаки, в которых на другое TLS-подключение переносится только аутентификация. Чтобы защитить контроллер домена, рассматривайте это как три меры вместе: отказ от простых привязок по открытому тексту, требование подписи для SASL-привязок и требование проверки токена привязки канала для аутентификации Windows (SASL-привязок) поверх LDAPS. Учтите, что у простой привязки нет CBT, и она выпадает из проверки привязки канала; простую привязку поверх LDAPS защищает само TLS-шифрование.

В каком порядке всё это ужесточать?

Порядок тот же, что и при ограничении NTLM: аудит → исправление → принудительное применение. Начните с SMB: включите доступный начиная с Windows 11 24H2 аудит, который выявляет собеседников, не поддерживающих подпись, и с его помощью составьте перечень устройств, которые подписывать не могут. Для LDAP проверьте в журнале Directory Service контроллера домена событие 2887 (сводка привязок без подписи за 24 часа); если количество ненулевое, задайте диагностическому параметру «16 LDAP Interface Events» значение 2 и определите клиентов по событию 2889. Для привязки канала сделайте то же самое с событиями 3039 и 3040, а также с добавленными обновлениями 2023 года событиями аудита 3074 и 3075. Когда все проблемные источники исправлены, переключайтесь: обязательная подпись SMB, обязательная подпись LDAP и привязка канала в значение Always. Единственный принцип — не переходить к принудительному применению сразу.

Об авторе

Страница с профилем автора статьи.

Го Комура

Представитель KomuraSoft LLC

Специализируется на разработке программного обеспечения для Windows, техническом консалтинге и расследовании сбоев, особенно в проектах с унаследованными системами и трудно воспроизводимыми ошибками.