网站建设、公众号开发、微网站、微商城、小程序就找牛创网络 !

7*24小时服务专线： 152-150-65-006 023-68263070 扫描二维码加我微信

web安全团结互助，让我们共同进步！

当前位置：主页 > 技术资讯 > 网络安全 > web安全 >

我们的优势： 10年相关行业经验，专业设计师量身定制设计师一对一服务模式，上百家客户案例！企业保证，正规流程，正规合作 7*24小时在线服务，售后无忧

减少企业遭受Windows设备网络上的凭据转储攻击漏洞的五个技巧

文章来源：重庆网络安全围观次数：

分享到:

摘要：凭据转储是攻击者获得永久网站访问权的一项重要技术。通过网络钓鱼潜入网站后，利用管理员管理和监视网络以获得公共凭据。谈谈减少Windows设备网络上企业凭据转储攻击漏洞的五个技巧。

凭据转储是攻击者获得永久网站访问权的一项重要技术。通过网络钓鱼潜入网站后，利用管理员管理和监视网络以获得公共凭据。

谈谈减少Windows设备网络上企业凭据转储攻击漏洞的五个技巧。

首先，减少凭证的重复使用

查看网络管理。登录网络执行了除工作以外的其他任务几次？网络帐户密码已重复登录了多少次？

建议公司定期检查其密码是否在公共密码数据库中。如果在网络上使用的密码出现在密码泄漏列表中，它将使用户的网络更容易受到攻击。

Troy Hunt发布了一个数据库，其中包含超过5亿个被盗密码。用户可以使用各种资源将这些公开的密码与网络中使用的密码进行比较。例如，用户可以使用密码过滤器查看网络上正在使用的密码。然后根据组策略专门检查这些密码。

二，管理本地管理员密码

管理本地管理员密码的重要性不言而喻。在整个网络中，本地管理员密码不应相同。考虑到本地管理员密码解决方案（LAPS）的部署，您可以安装Lithnet LAPS Web应用程序，该应用程序提供了一个简单，易于移动的Web界面来访问本地管理员密码。

攻击者知道，一旦他们获得了对网络的访问权限和本地管理员密码的哈希值，便可以流经网络。拥有随机分配的密码意味着攻击者无法运行。

三，审核NTLM的使用

如果用户使用的是新技术LAN Manager（NTLM），则攻击者可以使用NTLM哈希访问其网络。依靠LM或NTLM身份验证，再结合任何通信协议（SMB，FTP，RPC，HTTP等），都将使用户面临遭受攻击的风险。内部设备防御能力很弱，攻击者容易受到入侵。从Windows 7 / Windows Server 2008 R2开始，默认情况下将禁用NTLMv1和LM身份验证协议，但是现在用户应重新检查并确保已实现NTLMv2。您可以使用PowerShell查看网络中NTLM的使用。

在组策略中，值设置如下：

1.选择“开始”。

2.选择“运行”。

3.输入GPedit.msc。

4.选择“本地计算机策略”。

5.选择“计算机配置”。

6.选择“ Windows设置”。

7.选择“安全设置”。

8.选择“本地策略”。

9.选择“安全选项”

10.滚动到策略“网络安全性：LAN Manager身份验证级别”。

11.右键单击属性。

12.选择“发送NTLMv2响应/仅拒绝LM和NTLM”。

13.单击“确定”并确认设置更改。

注册表设置如下：

1.打开regedit.exe并导航到HKLM \ System \ CurrentControlSet \ control \ LSA。单击“ LSA”。如果在右窗格中没有看到LMCompatibilityLevel，则可能需要添加一个新的注册表项。

2.选择“编辑”。

3.选择“新建”。

4.选择“ REG_DWORD”。

5.将“新值＃1”替换为“ LMCompatibilityLevel”。

6.双击右窗格中的LMCompatibilityLevel。

7.输入“ 5”作为更改的级别。您可能需要升级打印机上的固件以支持网络中的NTLMv2。

四，管理“复制目录更改”的访问控制列表

攻击者比用户更了解如何使用其域中的帐户。他们经常滥用Microsoft Exchange权限组。因此，用户需要了解域中关键功能的安全组和访问控制列表（ACL）的更改。

当攻击者修改域对象的ACL时，将创建事件ID 5136。然后，用户可以使用PowerShell脚本查询Windows事件日志，以在日志中找到安全事件ID 5136：

Get-WinEvent -FilterHashtable @ {logname ='security'; id = 5136}

然后，使用ConvertFrom-SDDL4，它将SDDL字符串转换为可读性更高的ACL对象。Server 2016及更高版本提供了一个额外的审核事件，该事件记录原始和修改后的描述符。

五，监视与Isass.exe交互的意外进程

最后，注意lsass.exe进程中的意外峰值。域控制器将lsass.exe进程用作域事务的常规过程的一部分。在这些过程中可能隐藏了拒绝服务和恶意流量。确定域控制器中的正常状态是监视攻击时间的关键。在域控制器上运行Active Directory数据收集器的基本要求是可视化网络的正常运行。

总之。为了防止攻击者入侵，用户必须首先对他们的网络和资源使用有一个基本的了解。请花一些时间来理解，以免攻击者占上风。

本文由重庆网络安全整理发布,转载请保留出处，内容部分来自于互联网，如有侵权请联系我们删除。

上一篇：GetShell思路之phpMyadmin：基于PHP的MySQL数据库管理工具，使网站管理员可以通过Web界面管理数据库。
下一篇：从WEB安全的角度介绍hihttps如何通过机器学习自动生成对抗规则的5个过程

关于我们

重庆牛创网络科技有限责任公司是一群技术强大、思维活跃、拥有创新精神的年轻人创立，公司致力于为企业提供全面、周到、专业的互联网解决方案，提供网站建设、网络推广、网络安全审计、wifi营销认证、网站运营维护、域名注册、虚拟主机、企业邮局、企业形象设计等多种信息产品和服务。

联系我们

公司电话： 023—68263070
办公地址：重庆市北碚区金华路399号
邮箱：120481297@qq.com
技术咨询：15215065006

“互联网+”方案

重庆网站建设

备案图标渝ICP备19004889号-1 渝公网安备 50010902000896号

行业安全认证

web安全团结互助，让我们共同进步！

减少企业遭受Windows设备网络上的凭据转储攻击漏洞的五个技巧

热门资讯

关于我们

联系我们

“互联网+”方案