原始 KB 数： 4090105
总结
本文介绍如何审核 Windows Server 域控制器 （DC） 上的 NTLMv1 身份验证。 使用此信息可识别在环境中禁用 NTLMv1 之前仍使用 NTLMv1 的应用程序和服务。
NTLMv1 是一种旧式身份验证协议，Microsoft 2024 年 6 月弃用。 有关详细信息，请参阅 已弃用的功能。
若要维护安全性，请确定剩余的 NTLMv1 使用情况，并迁移应用程序以使用新式身份验证协议。 若要审核 NTLM 的任何版本的使用，请使用本文中所述的方法以及 “删除 NTLMv1 和使用 NTLM 的新审核事件”。
NTLM 审核
若要查找使用 NTLMv1 的应用程序，请对 DC 启用登录成功审核。 然后，查看 DC 上的事件日志，以找到与成功审核相关的事件 ID 4624。 此日志条目包含有关 NTLM 版本的信息。
事件 ID 4624 的文本类似于以下示例：
Sample Event ID: 4624
Source: Microsoft-Windows-Security-Auditing
Event ID: 4624
Task Category: Logon
Level: Information
Keywords: Audit Success
Description:
An account was successfully logged on.
Subject:
Security ID: NULL SID
Account Name: -
Account Domain: -
Logon ID: 0x0
Logon Type: 3
New Logon:
Security ID: ANONYMOUS LOGON
Account Name: ANONYMOUS LOGON
Account Domain: NT AUTHORITY
Logon ID: 0xa2226a
Logon GUID: {00000000-0000-0000-0000-000000000000}
Process Information:
Process ID: 0x0
Process Name: -
Network Information:
Workstation Name: Workstation1
Source Network Address:\<ip address>
Source Port: 49194
Detailed Authentication Information:
Logon Process: NtLmSsp
Authentication Package: NTLM
Transited Services: -
Package Name (NTLM only): NTLM V1
Key Length: 128
独占使用 NTLMv2
重要
此部分（或称方法或任务）介绍了修改注册表的步骤。 如果您错误地修改注册表，可能会出现严重问题。 因此，请确保仔细执行这些步骤。 出于防范目的，请在修改之前备份注册表，以便在出现问题时还原注册表。 有关如何备份和恢复注册表的更多信息，请参见如何在 Windows 中备份和恢复注册表。
若要将 DC 配置为仅使用 NTLMv2 进行身份验证，请在 DC 上配置以下注册表值：
- 子项：
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Lsa - 项：
LMCompatibilityLevel - 值：5
有关详细信息，请参阅 如何启用 NTLM 2 身份验证。
详细信息
事件 ID 4624 描述的登录操作不使用 NTLMv1 协议的会话安全性。 实际上，此操作没有会话安全性，因为不存在密钥成分。
NTLM 审核的逻辑是，在登录会话上找到 NTLMv2 密钥材料时，它会记录 NTLMv2 级身份验证。 它在所有其他情况下记录 NTLMv1，包括匿名会话。 因此，我们的一般建议是，如果事件是为 ANONYMOUS LOGON 而记录，那么可以忽略事件中的安全协议使用信息。
匿名登录会话的常见源包括以下应用程序和服务：
- 计算机浏览器服务：Windows 2000 和早期版本的 Windows 中的旧服务。 该服务在后台运行，并提供网络上的计算机和域的列表。 但是，不再使用此数据。 建议在整个企业中禁用此服务。
- SID-Name 映射：可以使用匿名会话的一个进程。 请参阅 网络访问：允许匿名 SID/名称转换。 建议对此功能进行身份验证。
- 未进行身份验证的客户端应用程序：应用程序服务器仍可能以匿名用户身份创建登录会话。 同样，如果使用 NTLM 身份验证以及空的用户名和密码字符串，则它可能会创建匿名会话。