← Active Directory

Authentifizierung: Kerberos, NTLM und Delegation

„Ich habe sie doch in die Gruppe aufgenommen — sie kommt trotzdem nicht rein.“ Die Mitgliedschaft steht auf allen Domain Controllern, die Berechtigung stimmt, und der Zugriff scheitert weiter. Kein Replikationsproblem: Ihr Kerberos-Ticket trägt die Gruppenliste von vorhin noch mit sich herum. Dieses Modul behandelt, was bei einer Anmeldung tatsächlich passiert — Kerberos gegen NTLM und warum sich NTLM nicht einfach abschalten lässt, der Ticket-Lebenszyklus samt der Autorisierungsdaten im Ticket, SPNs als der Name, an dem alles hängt und der fast immer beim Ändern kaputtgeht, die drei Delegationsvarianten mit sehr unterschiedlichem Blast-Radius, die Zeittoleranz von Kerberos — und die Verschlüsselungstypen, deren fehlendes Attribut eine Härtung Wochen später in einen Ausfall verwandelt.

Solide · ~30 Min · 12 Abschnitte Einführung · 9 Übungen (davon 1 Mission)

Modul starten →

Fortschritt wird gespeichert — du kannst das Modul später jederzeit fortsetzen.

Nur den Lehrtext lesen →

Das kannst du danach

  • ✓Einen Anmelde- oder Zugriffsfehler den Ebenen Ticket, SPN, Delegation oder Zeit zuordnen, statt am Konto zu beginnen.
  • ✓Zwischen unbeschränkter, eingeschränkter und ressourcenbasierter Delegation begründet wählen.
  • ✓Eine NTLM-Reduktion in der Reihenfolge planen, die keine Ausfälle als Inventarisierungsmethode benutzt.

Übungen

  • 1. EntscheidungWie sorgst du dafür, dass die Zugriffe Kerberos statt NTLM nutzen?
  • 2. EntscheidungWas ist die Ursache?
  • 3. EntscheidungWas ist die richtige Maßnahme?
  • 4. DiagnoseMission: Der Dienst, der auf NTLM zurückfällt
  • 5. EntscheidungWie reduzierst du das Relay-Risiko am wirksamsten?
  • 6. EntscheidungWelche Delegationsform richtest du ein?
  • 7. EntscheidungWelche Delegationsform passt zu dieser Kontroll- und Domänen-Anforderung?
  • 8. EntscheidungWo suchst du die Ursache?
  • 9. EntscheidungWie führst du die Härtung sicher ein?
Quellen & Aktualität23 Primärquellen · zuletzt geprüft:
  1. 01RFC 4120 — The Kerberos Network Authentication Service (V5)
  2. 02Microsoft Learn — Kerberos Authentication Overview
  3. 03Microsoft Learn — Service Principal Names (SPNs) and setspn
  4. 04Microsoft Learn — Kerberos Constrained Delegation Overview
  5. 05Microsoft Learn — Resource-Based Constrained Delegation (msDS-AllowedToActOnBehalfOfOtherIdentity)
  6. 06Microsoft Learn — How the Windows Time Service Works (PDC-Emulator, Zeit-Hierarchie)
  7. 07Microsoft — Kerberos policy: Maximum tolerance for computer clock synchronization (MaxClockSkew, 5 Minuten)
  8. 08Microsoft — Mitigating NTLM relay attacks (SMB/LDAP Signing, Extended Protection for Authentication)
  9. 09learn.microsoft.com/en-us/windows-server/secur…hentication-overview
  10. 10learn.microsoft.com/en-us/openspecs/windows_pr…e1-9c23-edaaa5f36962
  11. 11learn.microsoft.com/en-us/windows-server/admin…ndows-commands/klist
  12. 12learn.microsoft.com/en-us/windows-server/admin…dows-commands/setspn
  13. 13learn.microsoft.com/en-us/windows-server/secur…ce-accounts-overview
  14. 14Microsoft Learn — Service Principal Names (SPNs)
  15. 15Microsoft — Kerberos policy: Maximum tolerance for computer clock synchronization (MaxClockSkew)
  16. 16Microsoft Learn — How the Windows Time Service Works (PDC-Emulator als autoritative Zeitquelle)
  17. 17Microsoft Support — Troubleshooting Kerberos errors (duplicate SPN, KRB_AP_ERR_MODIFIED)
  18. 18Microsoft — Mitigating NTLM relay attacks (SMB signing, LDAP signing/channel binding, EPA)
  19. 19Microsoft Learn — Microsoft NTLM (protocol overview and security considerations)
  20. 20Microsoft Learn — Unconstrained delegation security considerations
  21. 21Microsoft Learn — Kerberos Constrained Delegation Overview (SeEnableDelegationPrivilege)
  22. 22Microsoft Learn — Network security: Restrict NTLM
  23. 23Microsoft Learn — Kerberos authentication overview

Verfasst von Julian Zentgraf