Windows 11 und Server vNext erhalten NTLM-Schutz gegen Brute-Force-Angriffe

Um Passwörter der verwendeten Konten zu knacken, kommen typischerweise Dictionaries oder Listen mit kompromittierten Kennwörtern zum Einsatz. Wenn sich in automatisierten Angriffen mehrere hundert Login-Versuche pro Sekunde absetzen lassen, dann bestehen gute Chancen für eine erfolgreiche Anmeldung nach kurzer Zeit.

Unternehmen können sich bisher dagegen schützen, indem sie Konten nach einer bestimmten Zahl an gescheiterten Anmelde­versuchen sperren. Dieses Feature lässt sich jedoch für Denial-of-Service-Attacken missbrauchen.

Intervalle zwischen den Logins

Mit dem Windows Insider Build 25069.1000.220302-1408 führte Microsoft einen alternativen Mechanismus zum Schutz gegen missbräuchliche SMB-NTLM-Authenti­fizierungen ein. Der so genannte SMB NTLM Authentication Rate Limiter erlaubt die Definition von Intervallen, die zwischen zwei Anmelde­versuchen vergehen müssen.

Dadurch werden automatisierte Angriffe ausgebremst und es würde um ein Vielfaches länger dauern, um ein Passwort zu knacken.

Verwaltung per PowerShell

Dieses Feature lässt sich über PowerShell verwalten. Um die aktuelle Einstellung abzufragen, verwendet man dieses Kommando:

Get-SmbServerConfiguration | select InvalidAuthenticationDelayTimeInMs

Um das Intervall zwischen zwei Anmelde­versuchen festzulegen, geht man folgendermaßen vor:

Set-SmbServerConfiguration -InvalidAuthenticationDelayTimeInMs <Millisekunden>

Aktuell findet sich diese Sicherheitsfunktion nur in den neusten Insider Builds für Windows 11 und die nächste Version von Windows Server LTSC. Es soll dann im nächsten jährlichen Update von Windows Server Azure Edition enthalten sein.

Product Manager Ned Pyle zufolge erwägt Microsoft zudem, den SMB NTLM Authentication Rate Limiter zurück auf Server 2022 und möglicherweise auch auf Server 2019 zu portieren.