组策略设置系列篇之“安全选项”-3

《组策略设置系列篇之“安全选项”-3》由会员上传分享，免费在线阅读，更多相关内容在工程资料-天天文库。

1、组策略设置系列篇之“安全选项”-3选项，设置网络安全：不要在下次更改密码时存储LANManager的哈希值此策略设置确定在下次更改密码时LANManager是否可以存储新密码的哈希值。“网络安全：不要在下次更改密码吋存储LANManager的哈希值”设置的可能值为：已启用已禁用■没有定义漏洞：试图访问用户名和密码哈希的攻击者可能会以SAM文件作为目标。这类攻击使用特殊工具破解密码，然后使用这些密码來模拟用八并获得对网络资源的访问。启用此策略设置不会禁止这些类型的攻击，但会使这类攻击的成功变得困难得多。对策：将“网络安全：不耍在下次更

2、改密码时存储LANManager的哈希值”设置配置为“已启用”。要求所有用户在下次登录域吋都设置新密码，以便LANManager哈希被删除。潜在影响:早期操作系统(如Windows95、Windows98和WindowsME)以及一些第三方应用程序将失败。网络安全：在超过晋录时间后强制注销此策略设置确定在超过用户帐户的有效登录时间后，是否要断开连接到本地计算机的用户。此设置影响SMB组件。如果启用此策略设置，会在客八端的登录时间用完时断开与SMB服务器的客户端会话。如果禁川此策略设置，已建立的客户端会话在超过客户端登录时

3、'可后继续

4、进行。“网络安全：在超过登录时间后强制注销”设置的可能值为:已启用■已禁用没有定义漏洞：如果禁用此策略设置，则在为用户分配的登录时间用完Z后，用户仍能继续连接到计算机。对策：将“网络安全：在超过背录时间后强制注销”设置配置为“已启川”。此策略设置不适川于管理员帐户。潜在影响：当用户的登录时间用完时，SMB会话将终止。用八在他们的下一次计划访问时间开始之前将无法登录到计算机。网络女全：LANManager身份验证级别LANManager（LM）是早期Microsoft客八端/服务器软件系列，它允许用八将多台个人计算机连接在单个网络上。

5、网络功能包括透明文件和打印共享、用八安全性功能以及网络管理工具。在ActiveDirectory域中，Kerberos协议是默认的身份验证协议。但是，如杲凶某种原因未协商Kerberos协议，则ActiveDirectory将使用LM>NTLM或NTLMv2oLANManager身份验证协议（包括LM、NTLM和NTLM版木2（NTLMv2）变体）用于在所有Windows客户端执行以下操作时对其进行身份验证：•加入到域中•在ActiveDirectory林2间进行身份验证•向低级别域验证身份・向非运行Windows2000>Wind

6、owsServer2003或WindowsXP的计算机验证身份・向不在域中的计算机验证身份“网络安全：LANManager身份验证级别”设置的可能值为:・发送LM和NTLM响应•发送LM和NTLM-若协商使川NTLMv2会话安全仅发送NTLM响应•仅发送NTLMv2响应•仅发送NTLMv2响应拒绝LM・仅发送NTLMv2响应拒绝LM和NTLM・没有定义“网络安全：LANManager身份验证级别”设置确定将哪些质询/响应身份验证协议川于网络登录。此选项影响客八端使用的身份验证协议级别、计算机所协商的会话安全级别以及服务器所接受的

7、身份验证级别，如卜所示：•发送LM和NTLM响应。客户端使用LM和NTLM身份验证，从不使用NTLMv2会话女全性。域控制器接受LM、NTLM和NTLMv2身份验证。•发送LM和NTLM-若协商使用NTLMv2会话安全。客户端使用LM和NTLM身份验证，如果服务器支持的话，还使用NTLMv2会话安全。域控制器接受LM.NTLM和NTLMv2身份验证。•仅发送NTLM响应。客户端只使用NTLM身份验证，如果服务器支持的话，述使用NTLMv2会话安全。域控制器接受LM、NTLM和NTLMv2身份验证。•仅发送NTLMv2响应。客户端仅使

8、用NTLMv2身份验证，如果服务器支持的话，述使用NTLMv2会话安全。域控制器接受LM、NTLM和NTLMv2身份验证。・仅发送NTLMv2响应拒绝LM。客户端仅使川NTLMv2身份验证，如果服务器支持的话，还使用NTLMv2会话安全。域控制器拒绝LM（只接受NTLM和NTLMv2身份验证）。•仅发送NTLMv2响应拒绝LM和NTLMo客户端仅使用NTLMv2身份验证，如果服务器支持的话，还使用NTLMv2会话安全。域控制器拒绝LM和NTLM（只接受NTLMv2身份验证）。这些设置与其他Microsoft文档中讨论的级别相对应

9、，如下所示：•级别0-发送LM和NTLM响应；从不使用NTLMv2会话安全。客户端使用LM和NTLM身份验证，从不使用NTLMv2会话安全。域控制器接受LM>NTLM和NTLMv2身份验证。・级别1-若I办商使用NTLMv2会话女全。