Bereich 06 / 12
Legacy-Protokolle
Windows spricht noch Protokolle, die für vertrauenswürdige LANs der 1990er entworfen wurden. Namensauflösung per Broadcast liefert Hashes an jeden im Segment, unsigniertes SMB und LDAP ermöglichen Relay-Angriffe, und NTLMv1 ist schnell geknackt. Dieser Bereich zeigt, wie man jedes Protokoll misst, abschaltet oder Signierung erzwingt, ohne Ausfälle zu verursachen.
Pfad startenLernpfad
0/4 erledigt- 01LLMNR, NBT-NS, SMBv1, NTLMv1 abschalten, Signierung fordernWindows-Protokolle hinter Hash-Diebstahl und Relay messen und abschalten: LLMNR, NBT-NS, mDNS, WPAD, SMBv1, NTLMv1, dazu SMB- und LDAP-Signierung mit Kanalbindung.
- 02TLS und Schannel unter Windows härtenSSL, TLS 1.0/1.1 und schwache Cipher in Schannel abschalten, die Cipher-Suite-Reihenfolge per GPO setzen und .NET nach Bestandsaufnahme auf starke Kryptografie umstellen.
- 03Remotedesktop (RDP) unter Windows härtenRemotedesktop absichern mit NLA, TLS-Sicherheitsschicht, PKI-Zertifikaten, eingeschränkten Benutzern, Firewall-Begrenzung, Sitzungslimits und den richtigen Protokollen.
- 04Druckwarteschlange und Point and Print härtenPrintNightmare-Risiken schließen: Druckwarteschlange wo ungenutzt abschalten, Treiberinstallation auf Admins beschränken, Package Point and Print mit Freigabeliste.