Verbeterde NTLM-blokkering

Met deze beleidsinstelling kan het NTLM-beveiligingspakket NTLM-verificatieaanvragen blokkeren op basis van het nieuwe, uitgebreide blokkeringsbeleid op computerniveau.

Met dit uitgebreide blokkeringsbeleid kun je NTLM-verificatie blokkeren op basis van nieuwe criteria, bijvoorbeeld het type account, de rol van het apparaat of het type toepassing.

Als het algemene beleid is ingesteld op 'Uitgeschakeld' of 'Niet geconfigureerd', zijn de onderstaande subinstellingen niet van kracht. Als het algemene beleid is ingesteld op 'Ingeschakeld', zijn de onderstaande subbeleidsregels van kracht op basis van hun configuratie.

Tenzij ze zijn geconfigureerd, zijn alle beleidsregels ingesteld op de controlemodus. Beleidsregels die zijn ingesteld op Controle, registreren een waarschuwing over de NTLM-aanvraag die geblokkeerd kan worden, maar blokkeren deze niet. Meerdere beleidsregels die zijn gemarkeerd als Controle, kunnen tegelijkertijd ingeschakeld zijn en worden geregistreerd in een uniform gebeurtenislogboek.

Als een beleid is gemarkeerd als 'Ingeschakeld', wordt de NTLM-verificatieaanvraag geblokkeerd als deze overeenkomt met de criteria van dat beleid. Als meerdere beleidsregels zijn gemarkeerd als 'Ingeschakeld', wordt de NTLM-verificatieaanvraag geblokkeerd als deze overeenkomt met criteria van die beleidsregels. Er wordt een gebeurtenislogboek gegenereerd voor het eerste beleid dat de NTLM-verificatie blokkeert.

In scenario's met het beleid 'Controle' én 'Ingeschakeld', heeft het beleid 'Ingeschakeld' voorrang.

Al het uitgebreide blokkeringsbeleid dat hier wordt beschreven maakt gebruik van dezelfde acceptatielijst, waarin de accounts, apparaten en toepassingen staan die NTLM-verificatie mogen gebruiken. De acceptatielijst kan een reeks doelnamen of SPN's bevatten om de verificatie toe te staan.

Ga naar aka.ms/ntlmlogandblock voor meer informatie.