Перейти к содержимому
AD Academy
Ко всем событиям
4776Security (DC)Аутентификация и входWARNОбновлено:

Проверка учётных данных NTLM

Что это значит

DC проверил пароль по NTLM. Microsoft сворачивает NTLM — каждое 4776 сегодня повод спросить: кто ещё им пользуется и почему.

Когда это норма, а когда подозрительно

Норма: старые устройства и приложения, всё ещё использующие NTLM. Подозрительно: NTLM-аутентификация админской учётки или много ошибок 0xC0000064.

Первые шаги

  1. 1Сначала соберите, кто запрашивает NTLM (Source Workstation), потом блокируйте.
  2. 2Error Code 0xC000006A — тоже неверный пароль.
  3. 3Планируйте переход на Kerberos: обращение по DNS-именам, корректные SPN.

Поля, на которые смотреть

ПолеНа что смотреть
Logon AccountПривилегированная учётка через NTLM — цель для Pass-the-Hash.
Source WorkstationИсточник. Станция, которая должна работать только по Kerberos, — выясните, почему упала в NTLM.

Связанные события

Справочник — отправная точка расследования, а не замена политике безопасности вашей организации.