I et Windows-domæne, der har været i drift i mange år, kører der ofte protokoller, som producenten for længst har udfaset: den første version af SMB, NTLM og gamle former for navneopslag. At de bør slås fra, er kilderne enige om. Det svære er at gøre det uden at stoppe en scanner, et fagsystem eller en gammel server, som stadig bruger dem.
Kontrolpunktet er derfor todelt. Gennemgangen ser, om de gamle protokoller er slået til, og om driften har målt brugen, så rettelsen kan ske uden nedbrud.
Hvad kilderne anbefaler
CISA’s vejledning om ransomware, som er udgivet sammen med andre myndigheder i september 2023, anbefaler at slå SMBv1 fra og opgradere til SMBv3, men først efter at eksisterende afhængigheder er håndteret, fordi de kan gå i stykker, når protokollen slås fra. Samme vejledning anbefaler at overveje at slå NTLM og WDigest fra eller begrænse dem, og at slå revision af NTLM til, hvis NTLM fortsat skal være slået til.
CISA og NSA nævner i deres rådgivning om hyppige fejlopsætninger, at LLMNR og navneopslag via NetBIOS er slået til som standard og er usikre ældre tjenester. Anbefalingen er at afklare, om de bruges, og slå dem fra, hvis de ikke gør. Samme rådgivning anbefaler at kræve SMB-signering for både klient og server.
Rækkefølgen i anbefalingerne er den samme overalt: find ud af, hvad der bruger protokollen, og slå den fra bagefter.
Hvad producenten siger om status
Microsoft oplyser, at SMBv1 ikke er installeret som standard i Windows 11 og Windows Server 2019 og nyere. I ældre installationer og opgraderede maskiner kan den stadig være der. Status på en server kan læses uden forhøjede rettigheder med kommandoen Get-SmbServerConfiguration | Format-List EnableSMB1Protocol.
Om NTLM skriver Microsoft, at alle versioner er forældede og ikke længere udvikles, og at NTLMv1 er fjernet fra Windows 11 version 24H2 og Windows Server 2025. Det er en grund til at måle brugen nu: når maskinerne opgraderes, holder de gamle afhængigheder alligevel op med at virke.
Sådan måles brugen af NTLM
Microsoft beskriver en indbygget måde at revidere brugen af NTLM i domænet. Politikken hedder “Restrict NTLM: Audit NTLM authentication in this domain”. Når den er slået til, skrives hændelser i loggen under Applications and Services Logs\Microsoft\Windows\NTLM. Microsoft anbefaler at holde øje med logstørrelsen under målingen, så loggen ikke løber fuld.
Målingen giver en liste over, hvilke maskiner og konti der stadig bruger NTLM. Hvor længe den skal køre, siger kilderne ikke. Det er praksis at lade den dække mindst én fuld cyklus af de job, der kun kører sjældent, fx månedslukning eller kvartalsvise kørsler, fordi det netop er dem, der ellers bliver glemt.
For SMBv1 har vi ikke læst en primærkilde om en særskilt revision af adgangen, og den beskrives derfor ikke her. Status pr. server kan læses med kommandoen ovenfor.
Hvad gennemgangen ser efter
Fem udtræk dækker typisk punktet. Udvalget er vores praksis:
- Status for SMBv1 på servere · med kommandoen ovenfor, samlet for alle servere med dato.
- Om revision af NTLM er slået til · og i givet fald et udtræk af hændelserne for en periode.
- SMB-signering · om den kræves på klient og server, som CISA og NSA anbefaler.
- LLMNR og navneopslag via NetBIOS · om de er slået til, og om driften har afklaret, at de ikke bruges.
- Maskiner med ældre styresystemer · fordi de ofte er dem, der holder de gamle protokoller i live.
Det stærkeste bevis er et dateret udtræk af NTLM-hændelserne, der viser, hvilke afhængigheder der er tilbage, og en plan for hver af dem. En protokol, der er slået til uden måling og uden plan, er et fund. En protokol, der er slået til, mens brugen bliver målt efter en plan, er et kendt mellemtrin.
Rækkefølgen for rettelsen
Kilderne siger ikke, hvordan rettelsen skal planlægges ud over, at afhængighederne håndteres først. Det følgende er praksis:
- Slå målingen til, og lad den køre længe nok til at fange de sjældne job.
- Find ejeren af hver afhængighed, og afklar, om den kan opgraderes eller flyttes.
- Slå protokollen fra på en lille gruppe maskiner først, og hav en plan for at slå den til igen.
- Udvid til resten, når gruppen har kørt uden fejl.
Hvordan stramninger generelt indføres med prøve og mulighed for at fortryde, er beskrevet i rettelser uden nedbrud.
Hvad det kræver, og hvad det koster at lade være
Det kræver, at revisionen slås til, at loggen følges, og at nogen finder ejerne af de afhængigheder, målingen viser. Arbejdet er ofte mindre, end driften frygter, fordi de fleste maskiner allerede kan klare sig uden. Det er de få gamle, der tager tiden.
Uden målingen bliver de gamle protokoller stående, fordi ingen tør slå dem fra. Med en stramning uden måling risikerer driften et nedbrud i et system, ingen havde tænkt på. Begge dele undgås ved at måle først.
Det skal I lade være med
- At slå en gammel protokol fra uden måling · CISA advarer om, at afhængigheder kan gå i stykker.
- At måle i en uge og konkludere · sjældne job bliver ikke fanget.
- At lade revisionen køre uden at følge logstørrelsen · Microsoft anbefaler at holde øje med den.
Det skal gennemgangen kunne vise
- ☐ Status for SMBv1 på alle servere med dato.
- ☐ Revision af NTLM slået til og et udtræk af hændelserne.
- ☐ Krav om SMB-signering på klient og server.
- ☐ Status for LLMNR og navneopslag via NetBIOS.
- ☐ En liste over tilbageværende afhængigheder med ejer og plan.
Kilder
- CISA m.fl., #StopRansomware Guide, september 2023, læst 13. november 2026.
- CISA og NSA, AA23-278A Top Ten Cybersecurity Misconfigurations, 5. oktober 2023, punkt 1 og tabel 1, læst 13. november 2026.
- Microsoft Learn, Detect, enable and disable SMBv1, SMBv2 and SMBv3, opdateret 28. februar 2025, læst 13. november 2026.
- Microsoft Learn, NTLM overview, opdateret 17. april 2025, læst 13. november 2026.
- Microsoft Learn, Deprecated features in Windows, læst 13. november 2026.
- Microsoft Learn, Restrict NTLM: Audit NTLM authentication in this domain, læst 13. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Kør kommandoen for SMBv1-status på jeres servere, og se, om revisionen af NTLM er slået til i domænet.
Læs også: Udgåede systemer · Revisionspolitikken på domænecontrollere og servere
→ Kontakt · Tlf. 70 13 63 23 · Teknisk sikkerhedsgennemgang hos Nielco IT
