Problèmes de journalisation NTLM

Question

Problèmes de journalisation NTLM

Pier Robert 20

Nous sommes en train de désactiver NTLMv1 dans tout l’environnement en activant l’audit via Audit NTLM authentication in this domain. Mais sur notre primary domain controller, les événements ID 8004 ne remontent pas correctement le nom du processus appelant pour plusieurs serveurs applicatifs anciens : le champ apparaît simplement comme UNKNOWN. Cela nous empêche d’identifier précisément quelles machines continuent d’utiliser NTLMv1. Nous soupçonnons un manque de visibilité au niveau RPC/NTLM tracing, probablement dû à des chemins d’appel masqués ou à une instrumentation incomplète. Nous aurions besoin d’un séquencement clair pour forcer la journalisation RPC afin de cartographier ces sources d’authentification masquées. Les ingénieurs pourraient-ils nous aider à définir une procédure fiable pour activer ce niveau de traçage avancé ?

0 commentaires

Réponse acceptée par l’auteur(e) de la question

0 réponses supplémentaires

Votre réponse

Answer 1

Lorsque l'ID d'événement 8004 affiche INCONNU, activez la journalisation du débogage Netlogon sur le DC :

nltest /dbflag :0x2080ffff

Reproduire l'authentification et la revue NTLM %windir%\debug\netlogon.log, qui exposent généralement le serveur source réel et le chemin d'authentification que l'Événement 8004 ne peut pas identifier.

Après avoir collecté les données, désactivez la journalisation avec :

nltest /dbflag :0x0

Corrélez les horodatages du journal Netlogon avec les entrées de l'ID d'événement 8004 pour cartographier les appelants NTLMv1 cachés. Si la source reste floue, collectez une trace réseau sur le DC et le serveur d'application suspecté lors de l'authentification.