LLMNR, NBT-NS, SMBv1, NTLMv1 abschalten, Signierung fordern

Windows schleppt aus Gründen der Abwärtskompatibilität eine lange Reihe von Protokollen mit. Mehrere davon liefern einem Angreifer im lokalen Netz genau das, was er braucht:

• LLMNR, NBT-NS und mDNS beantworten Namensabfragen per Broadcast. Jeder im Segment kann „das bin ich“ antworten und erhält einen Authentifizierungsversuch mit dem NetNTLM-Hash des Benutzers.
• Unsigniertes SMB und LDAP erlauben es, diese abgefangene Authentifizierung in Echtzeit an einen anderen Server weiterzuleiten (Relay), was oft Adminzugriff einbringt, ohne dass etwas geknackt werden muss.
• LM- und NTLMv1-Antworten lassen sich schnell knacken oder herabstufen.
• SMBv1 wird nicht mehr gepflegt und war der Angriffsvektor für WannaCry und NotPetya.

Jeder der folgenden Abschnitte zeigt, wie Sie zuerst messen und dann abschalten oder erzwingen.

LLMNR

Link-Local Multicast Name Resolution kommt zum Einsatz, wenn DNS einen Namen nicht auflösen kann.

• GPO: Computer Configuration > Administrative Templates > Network > DNS Client > Turn off multicast name resolution = Enabled.
• Registrierung: HKLM\SOFTWARE\Policies\Microsoft\Windows NT\DNSClient EnableMulticast = 0 (DWORD).

Für LLMNR gibt es in einer Domäne praktisch keinen legitimen Einsatzzweck. Rollen Sie die Änderung überall auf einmal aus.

NetBIOS-Namensdienst (NBT-NS)

NBT-NS wird pro Netzwerkadapter konfiguriert, was die Verwaltung umständlich macht:

• DHCP: Setzen Sie die Microsoft-Herstelleroption 001 Microsoft Disable Netbios Option in Ihren DHCP-Bereichen auf 0x2. DHCP-Clients übernehmen sie bei der Erneuerung der Lease.
• Statische Adapter / Server: Setzen Sie NetbiosOptions = 2 unter jedem Schnittstellenschlüssel in HKLM\SYSTEM\CurrentControlSet\Services\NetBT\Parameters\Interfaces\Tcpip_{GUID}. Üblich ist ein Startskript:

Get-ChildItem "HKLM:\SYSTEM\CurrentControlSet\Services\NetBT\Parameters\Interfaces" |
  ForEach-Object { Set-ItemProperty -Path $_.PSPath -Name NetbiosOptions -Value 2 }

Prüfen Sie, dass nichts mehr von NetBIOS-Namen abhängt: sehr alte Anwendungen, manche Drucker und Scanner sowie WINS-basierte Umgebungen. Wenn Sie noch WINS-Server betreiben, gehört deren Stilllegung zu diesem Projekt.

mDNS und WPAD

• mDNS: Aktuelle Windows-Versionen antworten auch auf Multicast-DNS. Das Blockieren von eingehendem UDP 5353 mit der Host-Firewall in verwalteten Netzen ist die zuverlässigste Maßnahme; viele Baselines setzen zusätzlich EnableMDNS = 0 unter HKLM\SYSTEM\CurrentControlSet\Services\Dnscache\Parameters.
• WPAD (Web Proxy Auto-Discovery) lässt einen Client eine Proxykonfiguration über einen Namen suchen, den ein Angreifer beantworten kann. Wenn Sie WPAD nicht nutzen, deaktivieren Sie die automatische Proxyerkennung per Richtlinie und stellen Sie sicher, dass wpad in der globalen Abfragesperrliste des DNS-Servers steht (auf Windows-DNS-Servern ist das standardmäßig der Fall; prüfen Sie mit dnscmd /info /globalqueryblocklist, dass niemand den Eintrag entfernt hat). Wenn Sie WPAD nutzen, veröffentlichen Sie einen autoritativen wpad-DNS-Eintrag, damit niemand sonst den Namen beanspruchen kann.

SMBv1

SMBv1 wird seit Windows 10 1709 und Windows Server 2019 nicht mehr standardmäßig installiert, aber Upgrades und alte Images schleppen es weiter mit.

Finden Sie heraus, wer es noch nutzt, indem Sie zuerst auf Dateiservern die Überwachung aktivieren:

Set-SmbServerConfiguration -AuditSmb1Access $true -Force
# dann Microsoft-Windows-SMBServer/Audit auswerten, Ereignis 3000 (ein Client hat sich mit SMBv1 verbunden)

Entfernen Sie es anschließend:

Disable-WindowsOptionalFeature -Online -FeatureName SMB1Protocol -NoRestart   # Clients
Remove-WindowsFeature FS-SMB1                                                 # Server
Get-SmbServerConfiguration | Select-Object EnableSMB1Protocol                 # Prüfung: False

Typische Nachzügler sind Multifunktionsdrucker, die auf eine Freigabe scannen, alte NAS-Geräte und Industriesysteme. Aktualisieren Sie deren Firmware oder isolieren Sie sie; behalten Sie SMBv1 nicht wegen eines einzigen Scanners in der gesamten Umgebung bei.

SMB-Signierung

Signierung verhindert SMB-Relay und Manipulation. Setzen Sie sie auf beiden Seiten auf erforderlich:

Pfad: Computer Configuration > Policies > Windows Settings > Security Settings > Local Policies > Security Options. PowerShell-Entsprechungen:

Set-SmbClientConfiguration -RequireSecuritySignature $true -Force
Set-SmbServerConfiguration -RequireSecuritySignature $true -Force

Domänencontroller verlangen serverseitige Signierung schon lange. Windows 11 24H2 (Enterprise, Pro und Education) verlangt die Signierung inzwischen standardmäßig ausgehend wie eingehend und Windows Server 2025 ausgehend. Neuere Rechner verweigern daher bereits die Verbindung zu NAS-Geräten von Drittanbietern, die nicht signieren, und erzwungene Signierung blockiert auch den Gastzugriff auf Freigaben; planen Sie dies ein, statt davon überrascht zu werden. Für sensible Freigaben geht SMB-3-Verschlüsselung (Set-SmbShare -Name Finance -EncryptData $true) noch weiter.

LDAP-Signierung und Kanalbindung

Unsignierte LDAP-Bindungen und LDAPS ohne Kanalbindung ermöglichen NTLM-Relay zu Domänencontrollern, eines der schädlichsten Relay-Ziele.

1. Zuerst überwachen. Aktivieren Sie auf jedem DC die Diagnoseprotokollierung für LDAP-Schnittstellenereignisse: HKLM\SYSTEM\CurrentControlSet\Services\NTDS\Diagnostics 16 LDAP Interface Events = 2. Suchen Sie dann im Protokoll Directory Service nach Ereignis 2889 (ein Client hat eine unsignierte oder einfache Bindung im Klartext durchgeführt). Ereignis 2887 liefert eine tägliche Zusammenfassung.
2. Signierung erzwingen: Domain controller: LDAP server signing requirements = Require signing (in der Default Domain Controllers Policy) und Network security: LDAP client signing requirements = Negotiate signing oder höher auf Mitgliedern.
3. Kanalbindung für LDAPS: Domain controller: LDAP server channel binding token requirements = When supported, dann Always, sobald die Überwachungsereignisse (3039, 3040, 3041) keine inkompatiblen Clients mehr zeigen.

NTLM: alte Versionen verweigern, dann den Rest verkleinern

LM und NTLMv1 verweigern

Network security: LAN Manager authentication level (LAN Manager-Authentifizierungsebene) = Send NTLMv2 response only. Refuse LM & NTLM (Registrierung HKLM\SYSTEM\CurrentControlSet\Control\Lsa LmCompatibilityLevel = 5). Wenden Sie dies auf alle Rechner einschließlich der DCs an. Setzen Sie außerdem Network security: Do not store LAN Manager hash value on next password change = Enabled.

Bevor Sie es auf DCs umstellen, finden Sie die NTLMv1-Nutzer: Sicherheitsereignis 4624 enthält Package Name (NTLM only); filtern Sie nach NTLM V1:

Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4624} -MaxEvents 20000 |
  Where-Object { $_.Message -match 'NTLM V1' } |
  Select-Object TimeCreated, @{n='Detail';e={($_.Message -split "`n" | Select-String 'Workstation Name|Account Name|Source Network Address') -join '; '}}

NTLMv2 überwachen und einschränken

• Network security: Restrict NTLM: Audit NTLM authentication in this domain = Enable all (auf DCs).
• Network security: Restrict NTLM: Audit Incoming NTLM Traffic = Enable auditing for all accounts (auf Servern).
• Werten Sie Applications and Services Logs > Microsoft > Windows > NTLM > Operational aus (Ereignisse 8001-8004), um zu sehen, welche Clients und Server noch NTLM verwenden und warum (meist Verbindung per IP-Adresse, fehlende SPNs oder Geräte außerhalb der Domäne).

Reduzieren Sie die Nutzung dann: Korrigieren Sie SPNs und DNS-Namen, damit Kerberos funktioniert, nehmen Sie privilegierte Benutzer in Protected Users auf (überhaupt kein NTLM) und verwenden Sie Restrict NTLM: Incoming NTLM traffic = Deny all accounts auf Servern ohne legitime NTLM-Clients. Aktivieren Sie Extended Protection for Authentication auf IIS, der AD-CS-Webregistrierung und Exchange; sie bindet NTLM an den TLS-Kanal und vereitelt Relay auf diese Dienste.

Reihenfolge der Maßnahmen

Checkliste

• LLMNR per GPO aus; NBT-NS über DHCP und auf statischen Adaptern aus
• mDNS blockiert, WPAD deaktiviert oder autoritativ veröffentlicht
• SMBv1 entfernt; Überwachung zeigte keine verbleibenden Clients
• SMB-Signierung auf Clients und Servern erzwungen
• LDAP-Signierung erzwungen, Kanalbindung auf Always gesetzt
• LmCompatibilityLevel 5 überall, LM-Hashes werden nicht gespeichert
• NTLM überwacht; Protected Users und EPA verkleinern die verbleibende Angriffsfläche

Diese Änderungen schließen die Angriffe, die aus „jemand hat sich ins Netz eingesteckt“ ein „jemand beherrscht die Domäne“ machen. Kombinieren Sie sie mit Regeln der Host-Firewall, die SMB-Verkehr zwischen Arbeitsplätzen vollständig unterbinden.