विंडोज 10 में LAN मैनेजर प्रमाणीकरण स्तर को "परिभाषित नहीं" पर कैसे सेट करें?

विंडोज 10/11 में LAN मैनेजर प्रमाणीकरण स्तर कॉन्फिगर करना: सुरक्षा सर्वोत्तम अभ्यास

LAN मैनेजर प्रमाणीकरण स्तर क्या है?

यह सेटिंग नियंत्रित करती है कि विंडोज कौन से NTLM प्रोटोकॉल संस्करण स्वीकार/भेजता है नेटवर्क प्रमाणीकरण के लिए। असुरक्षित प्रोटोकॉल (LM, NTLMv1) को अक्षम करना साइबर सुरक्षा स्वच्छता का मूलभूत हिस्सा है।

प्रमाणीकरण प्रोटोकॉल पदानुक्रम (सबसे कमजोर → सबसे मजबूत)

"परिभाषित नहीं" (Not Defined) का अर्थ और कैसे सेट करें

"परिभाषित नहीं" का अर्थ है: यह GPO सेटिंग कॉन्फिगर नहीं की गई है → सिस्टम डिफॉल्ट व्यवहार का उपयोग करता है (विंडोज 10/11 में डिफॉल्ट स्तर 5: केवल NTLMv2, Kerberos पसंदीदा)।

विधि 1: स्थानीय समूह नीति संपादक (gpedit.msc) - प्रो/एंटरप्राइज

1. Win+R → gpedit.msc → एंटर।
2. नेविगेट करें: कंप्यूटर कॉन्फिगरेशन → विंडोज सेटिंग्स → सुरक्षा सेटिंग्स → स्थानीय नीतियां → सुरक्षा विकल्प।
3. ढूंढें: "नेटवर्क सुरक्षा: LAN मैनेजर प्रमाणीकरण स्तर" (Network security: LAN Manager authentication level)।
4. राइट-क्लिक → गुण।
5. इस नीति सेटिंग को परिभाषित करें चेक करें।
6. ड्रॉपडाउन से चुनें: "केवल NTLMv2 प्रतिक्रिया भेजें, LM और NTLM अस्वीकार करें" (स्तर 3) या "केवल NTLMv2 प्रतिक्रिया भेजें, LM, NTLM, और NTLMv2 सर्वर अस्वीकार करें" (स्तर 5 - सबसे सुरक्षित)।
7. OK → gpupdate /force चलाएं।

विधि 2: रजिस्ट्री संपादक (regedit) - सभी संस्करण

1. Win+R → regedit → एंटर।
2. नेविगेट करें: HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Lsa।
3. दाएं फलक में LmCompatibilityLevel (REG_DWORD) ढूंढें या बनाएं।
4. मान सेट करें:
   • 3 = केवल NTLMv2 भेजें, LM/NTLM अस्वीकार करें (अनुशंसित न्यूनतम)
   • 5 = केवल NTLMv2 भेजें, LM/NTLM/NTLMv2 सर्वर अस्वीकार करें (सबसे सुरक्षित)
5. रीबूट करें या gpupdate /force चलाएं।

विधि 3: ग्रुप पॉलिसी (डोमेन वातावरण)

1. ग्रुप पॉलिसी प्रबंधन (gpmc.msc) खोलें।
2. GPO बनाएं/संपादित करें → कंप्यूटर कॉन्फिगरेशन → नीतियां → विंडोज सेटिंग्स → सुरक्षा सेटिंग्स → स्थानीय नीतियां → सुरक्षा विकल्प।
3. "नेटवर्क सुरक्षा: LAN मैनेजर प्रमाणीकरण स्तर" कॉन्फिगर करें।
4. उपयुक्त OU से लिंक करें → gpupdate /force क्लाइंट पर।

महत्वपूर्ण विचार और परीक्षण

• विरासत एप्लिकेशन/डिवाइस: पुराने NAS, प्रिंटर, लिगेसी ऐप NTLMv1/LM का उपयोग कर सकते हैं - स्तर 5 इन्हें तोड़ देगा।
• पहले ऑडिट करें: इवेंट व्यूअर → सुरक्षा लॉग → इवेंट ID 4624 (लॉगऑन प्रकार 3) → "ऑथेंटिकेशन पैकेज" जांचें।
• NTLM ऑडिटिंग सक्षम करें: GPO → सुरक्षा विकल्प → "नेटवर्क सुरक्षा: NTLM में आने वाले ट्रैफिक को प्रतिबंधित करें: इनकमिंग NTLM ट्रैफिक का ऑडिट करें" → सक्षम।
• चरणबद्ध रोलआउट: स्तर 3 → निगरानी → स्तर 5।
• Kerberos सुनिश्चित करें: SPN सही ढंग से पंजीकृत हैं, DNS/समय सिंक काम कर रहा है।

संबंधित सुरक्षा सेटिंग्स (एक साथ कॉन्फिगर करें)

सत्यापन

# PowerShell में वर्तमान मान जांचें
Get-ItemProperty HKLM:\SYSTEM\CurrentControlSet\Control\Lsa -Name LmCompatibilityLevel

# नेटवर्क पर NTLM उपयोग ऑडिट करें (इवेंट लॉग)
Get-WinEvent -FilterHashtable @{LogName='Security'; ID=4624} | 
Where-Object {$_.Properties[8].Value -eq 'NTLM'} | Select-Object TimeCreated, @{N='User';E={$_.Properties[5].Value}}, @{N='AuthPkg';E={$_.Properties[9].Value}}