Windows डोमेन में NTLM ऑथेंटिकेशन कैसे अक्षम करें

NTLM (NT LAN Manager) का उपयोग काफी लंबे समय से बेसिक Microsoft ऑथेंटिकेशन प्रोटोकॉल के रूप में किया जाता रहा है: Windows NT से। हालांकि Microsoft ने Windows 2000 में अधिक सुरक्षित केरबेरोस ऑथेंटिकेशन प्रोटोकॉल पेश किया, NTLM (आमतौर पर, यह NTLMv2 है) अभी भी Windows डोमेन नेटवर्क पर ऑथेंटिकेशन के लिए व्यापक रूप से उपयोग किया जाता है। इस लेख में, हम विचार करेंगे कि अपने Active Directory डोमेन में NTLMv1 और NTLMv2 प्रोटोकॉल कैसे अक्षम करें और केरबेरोस का उपयोग शुरू करें।

NTLMv1 की मुख्य समस्याएं:

• कमजोर एन्क्रिप्शन;
• LSA सर्विस की मेमोरी में पासवर्ड हैश स्टोर करना जिसे विभिन्न टूल्स (जैसे mimikatz) का उपयोग करके निकाला जा सकता है और फिर हैश का उपयोग आगे के हमलों के लिए किया जा सकता है;
• सर्वर और क्लाइंट के बीच म्यूचुअल ऑथेंटिकेशन की अनुपस्थिति जिसके परिणामस्वरूप डेटा इंटरसेप्शन अटैक्स और नेटवर्क संसाधनों तक अनधिकृत पहुंच होती है (Responder जैसे कुछ टूल्स नेटवर्क पर भेजे गए NTLM डेटा को कैप्चर कर सकते हैं और उनका उपयोग नेटवर्क संसाधनों तक पहुंचने के लिए कर सकते हैं);
• और अन्य वल्नरेबिलिटीज।

उनमें से कुछ को अगले संस्करण NTLMv2 में फिक्स किया गया था जो अधिक सुरक्षित एन्क्रिप्शन एल्गोरिदम का उपयोग करता है और लोकप्रिय NTLM अटैक्स को रोकने की अनुमति देता है। NTLMv1 और LM ऑथेंटिकेशन प्रोटोकॉल Windows 7 / Windows Server 2008 R2 से शुरू होकर डिफ़ॉल्ट रूप से अक्षम हैं।

NTLMv2 लागू करने के लिए GPO कॉन्फिगर करना

यदि आपने अपने डोमेन में NTLM का उपयोग बंद करने के बारे में सोचा है, तो सबसे पहले, आपको यह सुनिश्चित करना होगा कि आप इसके अधिक कमजोर संस्करण – NTLMv1 का उपयोग नहीं कर रहे हैं। आपके नेटवर्क में कई लीगेसी डिवाइस या सर्विसेज हो सकती हैं जो अभी भी NTLMv2 (या केरबेरोस) के बजाय NTLMv1 ऑथेंटिकेशन का उपयोग कर रही हैं। इसलिए, इसे पूरी तरह से अक्षम करने से पहले, इस लेख में NTLM ऑथेंटिकेशन इवेंट ऑडिट सेक्शन पढ़ें।

छोटे ओपन सोर्स प्रोडक्ट्स, विभिन्न नेटवर्क स्कैनर्स के पुराने मॉडल (जो स्कैन्स को शेयर्ड नेटवर्क फोल्डर्स में सेव करते हैं), कुछ NAS डिवाइस और अन्य पुराने हार्डवेयर, सॉफ्टवेयर और OS में NTLMv1 अक्षम करने पर ऑथेंटिकेशन समस्याएं होने की संभावना है।

सबसे पहले, डोमेन एडमिनिस्ट्रेटर को यह सुनिश्चित करना होगा कि डोमेन में ऑथेंटिकेशन के लिए NTLM और LM प्रोटोकॉल का उपयोग प्रतिबंधित है, क्योंकि कुछ मामलों में एक अटैकर NTLM/LM रिक्वेस्ट का रिस्पॉन्स प्राप्त करने के लिए विशेष रिक्वेस्ट का उपयोग कर सकता है।

आप डोमेन (या लोकल) पॉलिसी का उपयोग करके पसंदीदा ऑथेंटिकेशन प्रकार सेट कर सकते हैं। Group Policy Management Editor (gpmc.msc) खोलें और Default Domain Policy एडिट करें। GPO सेक्शन Computer Configurations -> Policies -> Windows Settings -> Security Settings -> Local Policies -> Security Options पर जाएं और पॉलिसी Network Security: LAN Manager authentication level ढूंढें।

पॉलिसी सेटिंग्स में 6 विकल्प हैं:

1. Send LM & NTLM responses;
2. Send LM & NTLM responses – use NTLMv2 session security if negotiated;
3. Send NTLM response only;
4. Send NTLMv2 response only;
5. Send NTLMv2 response only. Refuse LM;
6. Send NTLMv2 response only. Refuse LM& NTLM.

NTLM ऑथेंटिकेशन उपयोग की पॉलिसी उनकी सुरक्षा सुधार के क्रम में दी गई हैं। डिफ़ॉल्ट रूप से, Windows 7 और नए OS विकल्प Send NTLMv2 response only का उपयोग करते हैं। यदि यह विकल्प सक्षम है, तो क्लाइंट कंप्यूटर्स NTLMv2 ऑथेंटिकेशन का उपयोग करते हैं, लेकिन AD डोमेन कंट्रोलर्स LM, NTLM और NTLMv2 रिक्वेस्ट स्वीकार करते हैं।

NTLMv2 का उपयोग तब किया जा सकता है जब केरबेरोस प्रोटोकॉल काम नहीं करता, कुछ ऑपरेशन्स के लिए (उदाहरण के लिए, डोमेन-जॉइन्ड कंप्यूटर्स पर लोकल ग्रुप्स और अकाउंट्स मैनेज करते समय) या वर्कग्रुप्स में।

आप पॉलिसी मान को सबसे सुरक्षित 6 विकल्प पर बदल सकते हैं: "Send NTLMv2 response only. Refuse LM & NTLM"। यदि आप इस सेटिंग को डोमेन कंट्रोलर्स पर कॉन्फिगर करते हैं, तो वे सभी LM और NTLMv1 रिक्वेस्ट को अस्वीकार कर देंगे।

आप रजिस्ट्री के माध्यम से भी NTLMv1 अक्षम कर सकते हैं। ऐसा करने के लिए, रजिस्ट्री कुंजी HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Lsa में नाम LmCompatibilityLevel और मान 0-5 वाला DWORD पैरामीटर बनाएं। मान 5 पॉलिसी विकल्प "Send NTLMv2 response only. Refuse LM NTLM" से मेल खाता है।

सुनिश्चित करें कि उसी GPO सेक्शन में Network security: Do not store LAN Manager hash value on next password change पॉलिसी सक्षम है। यह Windows Vista / Windows Server 2008 से शुरू होकर डिफ़ॉल्ट रूप से सक्षम है और LM हैश बनाने से रोकती है।

अपने डोमेन कंट्रोलर्स पर इस पॉलिसी को लागू करना न भूलें।

यदि आपने सुनिश्चित कर लिया है कि आप NTLMv1 का उपयोग नहीं कर रहे हैं, तो आप आगे जा सकते हैं और NTLMv2 को अक्षम करने का प्रयास कर सकते हैं। NTLMv2 एक अधिक सुरक्षित ऑथेंटिकेशन प्रोटोकॉल है, लेकिन यह सुरक्षा के मामले में केरबेरोस से बहुत पीछे है (हालांकि NTLMv2 में NTLMv1 की तुलना में कम वल्नरेबिलिटीज हैं, लेकिन अभी भी डेटा कैप्चर और पुन: उपयोग की संभावना है, साथ ही यह म्यूचुअल ऑथेंटिकेशन का समर्थन नहीं करता)।

NTLM अक्षम करने का मुख्य जोखिम लीगेसी या गलत कॉन्फिगर्ड एप्लिकेशन्स का संभावित उपयोग है जो अभी भी NTLM ऑथेंटिकेशन का उपयोग कर सकते हैं। इस मामले में, आपको उन्हें केरबेरोस पर स्विच करने के लिए विशेष तरीके से अपडेट या कॉन्फिगर करना होगा।

NTLM ऑथेंटिकेशन ऑडिट लॉगिंग कैसे सक्षम करें?

इससे पहले कि आप अपने डोमेन में NTLM को पूरी तरह से अक्षम करें और केरबेरोस पर स्विच करें, सुनिश्चित करें कि डोमेन में कोई ऐप्स नहीं बचे हैं जिन्हें NTLM ऑथेंटिकेशन की आवश्यकता है और जो इसका उपयोग करते हैं।

NTLM ऑथेंटिकेशन का उपयोग करने वाले अकाउंट्स या ऐप्स को ट्रैक करने के लिए, आप सभी कंप्यूटर्स पर GPO का उपयोग करके ऑडिट लॉगिंग पॉलिसीज सक्षम कर सकते हैं। Computer Configuration -> Windows Settings -> Security Settings -> Local Policies -> Security Options सेक्शन में, Network Security: Restrict NTLM: Audit NTLM authentication in this domain पॉलिसी ढूंढें और सक्षम करें और इसका मान Enable all पर सेट करें।

इसी तरह Network Security: Restrict NTLM: Audit Incoming NTLM Traffic पॉलिसी सक्षम करें और इसका मान Enable auditing for domain accounts पर सेट करें।

इन पॉलिसीज को सक्षम करने के बाद, NTLM ऑथेंटिकेशन उपयोग के इवेंट्स Event Viewer के Application and Services Logs-> Microsoft -> Windows -> NTLM सेक्शन में दिखाई देते हैं।

आप प्रत्येक सर्वर पर इवेंट्स का विश्लेषण कर सकते हैं या उन्हें सेंट्रल Windows Event Log Collector पर एकत्रित कर सकते हैं।

आपको Microsoft-Windows-Security-Auditing सोर्स से Event ID 4624 – “An Account was successfully logged on“ वाले इवेंट्स खोजने की आवश्यकता है। "Detailed Authentication Information" सेक्शन में जानकारी पर ध्यान दें। यदि Authentication Package मान में NTLM है, तो इस यूजर को प्रमाणित करने के लिए NTLM प्रोटोकॉल का उपयोग किया गया है।

Package Name (NTLM only) के मान को देखें। यह लाइन दिखाती है कि ऑथेंटिकेशन के लिए किस प्रोटोकॉल (LM, NTLMv1 या NTLMv2) का उपयोग किया गया है। इस प्रकार, आपको लीगेसी प्रोटोकॉल का उपयोग करने वाले सभी सर्वर्स/एप्लिकेशन्स का पता लगाना होगा।

उदाहरण के लिए, सभी डोमेन कंट्रोलर्स पर सभी NTLMv1 ऑथेंटिकेशन इवेंट्स खोजने के लिए, आप निम्न PowerShell स्क्रिप्ट का उपयोग कर सकते हैं:

$ADDCs = Get-ADDomainController -filter
$Now = Get-Date
$Yesterday = $Now.AddDays(-1)
$NewOutputFile = "c:\Events\$($Yesterday.ToString('yyyyddMM'))_AD_NTLMv1_events.log"
function GetEvents($DC){
Write-Host "Searching log on " $DC.HostName
$Events = Get-EventLog "Security" -After $Yesterday.Date -Before $Now.Date -ComputerName $DC.HostName -Message "*V1*" -instanceid 4624
foreach($Event in $Events){
Write-Host $DC.HostName $Event.EventID $Event.TimeGenerated
Out-File -FilePath $NewOutputFile -InputObject "$($Event.EventID), $($Event.MachineName), $Event.TimeGenerated), $($Event.ReplacementStrings),($Event.message)" -Append
}
}
foreach($DC in $ADDCs){GetEvents($DC)}

आपके डोमेन में NTLM का उपयोग करने वाले यूजर्स और एप्लिकेशन्स मिलने के बाद, उन्हें केरबेरोस उपयोग करने पर स्विच करने का प्रयास करें (संभवतः SPN का उपयोग करके)। कुछ एप्लिकेशन्स को केरबेरोस ऑथेंटिकेशन उपयोग करने के लिए थोड़ा पुनर्कॉन्फिगर करने की आवश्यकता होती है (Kerberos Authentication in IIS, How to configure different browsers for Kerberos authentication? लेख देखें)। अपने अनुभव से, मैं देखता हूं कि बड़े कमर्शियल प्रोडक्ट्स भी अभी भी केरबेरोस के बजाय NTLM का उपयोग कर रहे हैं, कुछ प्रोडक्ट्स को अपडेट या कॉन्फिगरेशन परिवर्तन की आवश्यकता होती है। यह सब इस बारे में पता लगाने के बारे में है कि कौन से ऐप्स NTLM ऑथेंटिकेशन का उपयोग कर रहे हैं, और अब आपके पास इस सॉफ्टवेयर और डिवाइसेज की पहचान करने का प्रासंगिक तरीका है।

केरबेरोस ऑथेंटिकेशन के लिए अपने सर्वर के IP एड्रेस के बजाय DNS नाम का उपयोग करना आवश्यक है। यदि आप अपने संसाधनों से कनेक्ट करते समय IP एड्रेस निर्दिष्ट करते हैं, तो NTLM ऑथेंटिकेशन उपयोग किया जाता है।

वे ऐप्स जो केरबेरोस का उपयोग नहीं कर सकते, उन्हें अपवादों में जोड़ा जा सकता है। यह उन्हें डोमेन लेवल पर अक्षम होने पर भी NTLM ऑथेंटिकेशन उपयोग करने की अनुमति देगा। ऐसा करने के लिए, Network security: Restrict NTLM: Add server exceptions for NTLM authentication in this domain पॉलिसी उपयोग की जाती है। उन सर्वर्स के नाम अपवाद सूची में जोड़ें जिन पर NTLM ऑथेंटिकेशन उपयोग किया जा सकता है। आदर्श रूप से, यह अपवाद सूची खाली होनी चाहिए। आप वाइल्डकार्ड * उपयोग कर सकते हैं।

Active Directory डोमेन में NTLM को पूरी तरह से कैसे प्रतिबंधित करें?

यह जांचने के लिए कि विभिन्न ऐप्स के लिए NTLM के बिना ऑथेंटिकेशन आपके डोमेन में कैसे काम करेगा, आप यूजर अकाउंट्स को "Protected Users" डोमेन ग्रुप में जोड़ सकते हैं (यह Windows Server 2012 R2 से उपलब्ध है)। इस सिक्योरिटी ग्रुप के सदस्य केवल केरबेरोस का उपयोग करके प्रमाणित हो सकते हैं (NTLM, Digest Authentication या CredSSP अनुमति नहीं है)। इस प्रकार, आप विभिन्न ऐप्स में केरबेरोस यूजर ऑथेंटिकेशन सही ढंग से काम करता है या नहीं, यह सत्यापित कर सकते हैं।

फिर आप Network Security: Restrict NTLM: NTLM authentication in this domain पॉलिसी का उपयोग करके Active Directory डोमेन में NTLM को पूरी तरह से अक्षम कर सकते हैं।

पॉलिसी के 5 विकल्प हैं:

• Disable: पॉलिसी अक्षम है (डोमेन में NTLM ऑथेंटिकेशन अनुमति है);
• Deny for domain accounts to domain servers: डोमेन कंट्रोलर्स डोमेन अकाउंट्स के तहत सभी सर्वर्स के लिए NTLM ऑथेंटिकेशन प्रयासों को अस्वीकार करते हैं, और "NTLM is blocked" एरर दिखाई देता है;
• Deny for domain accounts: डोमेन कंट्रोलर्स सभी डोमेन अकाउंट्स के लिए NTLM ऑथेंटिकेशन प्रयासों को रोकते हैं, और "NTLM is blocked" एरर दिखाई देता है;
• Deny for domain servers: NTLM ऑथेंटिकेशन रिक्वेस्ट सभी सर्वर्स के लिए प्रतिबंधित हैं जब तक कि सर्वर नाम "Network security: Restrict NTLM: Add server exceptions for NTLM authentication in this domain" पॉलिसी में अपवाद सूची में नहीं है;
• Deny all: डोमेन कंट्रोलर्स सभी डोमेन सर्वर्स और अकाउंट्स के लिए सभी NTLM रिक्वेस्ट ब्लॉक करते हैं।

Active Directory सुरक्षा को और बेहतर बनाने के लिए, मैं इन लेखों को पढ़ने की सलाह देता हूं: Mitigations against Mimikatz Style Attacks, Securing of Priveleged Administrator Accounts, How to Disable LLMNR and NetBIOS over TCP/IP।