راهنمای مهاجرت مرحله‌ای از NTLM به Kerberos در ویندوز

مهاجرت از NTLM به Kerberos یک تغییر تدریجی است، نه اجرای یک سیاست واحد. بهترین نقطه شروع، اندازه‌گیری محل و علت استفاده از NTLM و سپس اصلاح وابستگی‌هایی است که مانع انتخاب Kerberos می‌شوند.

۱. ابتدا دامنه مهاجرت را مشخص کنید

NTLM از ژوئن ۲۰۲۴ منسوخ شده و دیگر توسعه قابلیت دریافت نمی‌کند. برخلاف Kerberos، احراز هویت متقابل ارائه نمی‌دهد و به سازوکارهایی مانند MD4 و MD5 وابسته است؛ بنابراین در برابر حملاتی مانند pass-the-hash و credential relay ریسک بیشتری دارد. نسخه‌های موجود ویندوز، از جمله Windows 10 و 11 و Windows Server 2019، 2022 و 2025، همچنان NTLM را پشتیبانی می‌کنند؛ اما در نسخه‌های اصلی آینده، NTLM شبکه به‌صورت پیش‌فرض مسدود خواهد شد.

۲. ممیزی پیشرفته را فعال کنید

روی کلاینت‌ها و سرورها، سیاست NTLM Enhanced Logging را در مسیر زیر پیکربندی کنید:

Computer Configuration > Administrative Templates > System > NTLM

در کنترلرهای دامنه نیز سیاست Log Enhanced Domain-wide NTLM Logs را در مسیر Netlogon فعال کنید:

Computer Configuration > Administrative Templates > System > Netlogon

رویدادهای 4020 و 4021 در کلاینت‌ها و 4022 و 4023 در سرورها ثبت می‌شوند. رکوردهای کلاینت معمولاً نام فرایند، علت fallback و مقصد را نشان می‌دهند؛ رکوردهای سرور اطلاعات فرایند و کلاینت راه‌دور را ارائه می‌کنند.

برای مشاهده گزارش‌ها از این دستور PowerShell استفاده کنید:

Get-WinEvent -LogName "Microsoft-Windows-NTLM/Operational" | Format-List

ممیزی را چند هفته ادامه دهید و یافته‌ها را بر اساس علت ریشه‌ای و حجم مصرف گروه‌بندی کنید، نه فقط بر اساس نام رایانه.

۳. علت‌های متداول fallback را اصلاح کنید

• استفاده از آدرس IP به‌جای نام DNS؛ Kerberos به SPN وابسته به نام نیاز دارد.
• SPNهای مفقود، تکراری یا نادرست.
• نبود مسیر شبکه به کنترلر دامنه.
• احراز هویت شبکه با حساب محلی.
• برنامه‌هایی که NTLM را به‌صورت hardcode فراخوانی می‌کنند.

برای بررسی SPNها از دستورات زیر استفاده کنید:

setspn -Q

setspn -X

نام‌های DNS را جایگزین آدرس‌های IP کنید، SPNهای مشکل‌دار را اصلاح کنید و اسکریپت‌ها یا برنامه‌هایی را که NTLM را اجباری می‌کنند به استفاده از مذاکره احراز هویت منتقل کنید. تجهیزات و برنامه‌های شخص ثالثی را که فقط NTLM پشتیبانی می‌کنند نیز شناسایی و با سازنده آن‌ها بررسی کنید.

۴. اجرای مسدودسازی را مرحله‌بندی کنید

پیش از enforce کردن محدودیت، سیاست Network security: Restrict NTLM: Outgoing NTLM traffic to remote servers را در حالت audit روی گروه آزمایشی اجرا کنید. سپس مسدودسازی را به‌صورت حلقه‌ای از بارهای کاری غیرحیاتی آغاز کنید و هر مرحله را با لاگ‌ها و آزمون کاربردی بررسی کنید.

برای محدودکردن NTLM در SMB روی Windows Server 2025 می‌توانید از این دستور استفاده کنید:

Set-SmbClientConfiguration -BlockNTLM $true

همین هدف از طریق سیاست Block NTLM (LM, NTLM, NTLMv2) در مسیر Lanman Workstation نیز قابل پیگیری است.

۵. موارد خاص و کنترل نهایی

NTLMv1 در Windows 11 نسخه 24H2 و Windows Server 2025 حذف شده است. در حالت audit، استفاده از اعتبارنامه‌های مشتق‌شده از NTLMv1 با رویداد 4024 ثبت می‌شود؛ بنابراین وابستگی‌های قدیمی را پیش از اعمال enforce شناسایی کنید.

پس از هر مرحله، برنامه‌های حساس، اشتراک‌های SMB، احراز هویت کلاینت‌های غیر ویندوزی و تجهیزات قدیمی را آزمایش کنید. شکست‌های باقی‌مانده معمولاً به برنامه‌های hardcode‌شده، پیش‌نیازهای ناقص Kerberos، دستگاه‌های legacy یا جریان‌های مبتنی بر حساب محلی مربوط‌اند. قابلیت‌های IAKerb و LocalKDC برای پوشش برخی سناریوهای fallback طراحی شده‌اند، اما ممیزی و پاک‌سازی SPN را به عرضه عمومی آن‌ها موکول نکنید.

جمع‌بندی عملی

ترتیب کم‌ریسک این است: چند هفته ممیزی، گروه‌بندی علت‌ها، اصلاح DNS و SPN، اجرای آزمایشی در حلقه‌های کوچک و سپس enforce کردن سیاست‌ها. این رویکرد محل‌های واقعی شکست را پیش از مسدودسازی گسترده آشکار می‌کند.