איך זה עובד
אחרי שראינו איך נראות התקיפות (, , ), השאלה היא אילו מתגים מכבים אותן בפועל. רוב ההגנות הן הגדרות מובנות של Windows — צריך רק להדליק אותן ולוודא שהן לא שוברות מערכות ישנות.
- מבודד את סודות ה־LSASS בתוך מכונה וירטואלית — כבר לא קורא אותם מהזיכרון.
- קבוצת Protected Users: חשבונות רגישים (אדמינים) שלא יכולים להשתמש ב־, ב־ לא מוגבל או בסיסמה חלשה — רק חזק.
- אל תוסיפו לקבוצה חשבונות שירות או מחשבים — רק משתמשים אדמיניסטרטיביים, ורק אחרי בדיקה שהכל עובד עם .
עובד רק כשהיעד לא דורש חתימה. חתימת SMB ו־ (ועדיף גם Channel Binding) הופכת את ההתקפה לכמעט חסרת ערך. לפני ההפעלה ממפים מי עדיין מתחבר בלי חתימה — אירועי LDAP 2886/2887 ב־ מראים בדיוק את זה.
- LmCompatibilityLevel=5 — שולח רק NTLMv2 ומסרב ל־NTLMv1 שמתפצח בשניות.
- SMBv1 — מכבים לגמרי (WannaCry ניצל אותו): Disable-WindowsOptionalFeature -Online -FeatureName SMB1Protocol.
- מודיעין לפני מחיקה: מעלים רמת אירועי ב־ ורואים מי עוד משתמש בפרוטוקולים ישנים.