Ana SayfaÇözüm Deposu & MakalelerWindows Event Forwarding (WEF) ile NTLMv1 ve Eski Kimlik Doğrulamalarını İzleme Rehberi
Sistem & BulutHOW_TOEXPERT
Windows Event Forwarding (WEF) ile NTLMv1 ve Eski Kimlik Doğrulamalarını İzleme Rehberi
Kurumsal etki alanında eski NTLMv1 protokolü kullanan sunucu, istemci ve servis hesaplarını merkezi bir Collector (WEC) sunucusunda ajan kurmadan toplama ve SIEM aktarım rehberi.
Murat YılmazMVP_USER
Cloud Solutions Architect | Microsoft MVP25.08.202611 dk Okuma3120 Görüntülenme
AuditAgent™ Kod & Mimari Doğrulaması
Güven Skoru: %99AuditAgent Onaylı (Security Hardening)
Sözdizimi Doğrulandı
Uygulama Önkoşulları & Gereksinimler
Active Directory Domain Services
Windows Server 2019/2022 WEC Sunucusu
WinRM HTTPS Sertifika Altyapısı
İnteraktif Mimari Akış Şeması (Mermaid)Otomatik Çizilen Topoloji
Windows Event Forwarding (WEF) ile NTLMv1 ve Eski Kimlik Doğrulamalarını İzleme RehberiMermaid.js
100%
ADIM 1
İstemciler / Windows 11
↓
ADIM 2
WEC Collector Sunucusu
↓
ADIM 3
Legacy Sunucular
↓
ADIM 4
Domain Controller
↓
ADIM 5
Kurumsal SIEM / Microsoft Sentinel
Giriş: NTLMv1 Neden Tehlikelidir? NTLMv1 şifreleme algoritması DES tabanlıdır ve ağ trafiği dinlendiğinde dakikalar içinde kırılabilir. Windows Event Forwarding (WEF), etki alanındaki tüm makinelerin Event Loglarını HTTPS/WinRM üzerinden merkezi bir Collector sunucuya iletir.
📸 Ekran Görüntüsü / Konsol Çıktısı: Windows Event Forwarding WEC Mimarisi
---
1. Adım: GPO ile Windows Olay Denetimini Açma
POWERSHELL
| 1 | # GPO: Computer Configuration -> Policies -> Windows Settings -> Security Settings -> Local Policies -> Security Options |
| 2 | # "Network security: Restrict NTLM: Audit NTLM authentication in this domain" -> Enable all |
---
2. Adım: WEC Subscription XML Yapılandırması
XML
| 1 | <Subscription xmlns="http://schemas.microsoft.com/2006/03/windows/events/subscription"> |
| 2 | <SubscriptionId>NTLMv1_Legacy_Auditing</SubscriptionId> |
| 3 | <SubscriptionType>SourceInitiated</SubscriptionType> |
| 4 | <Description>Etki alanındaki tüm NTLMv1 oturum açma olaylarını toplar</Description> |
| 5 | <Query><![CDATA[ |
| 6 | <QueryList> |
| 7 | <Query Id="0" Path="Microsoft-Windows-NTLM/Operational"> |
| 8 | <Select Path="Microsoft-Windows-NTLM/Operational">*[System[(EventID=8001 or EventID=8002)]]</Select> |
| 9 | </Query> |
| 10 | </QueryList> |
| 11 | ]]></Query> |
| 12 | </Subscription> |
#WEF#Active Directory#NTLMv1#Security#SIEM#GPO
Bu Makaleyle İlgili Bir Sorunuz mu Var?
Uygulama esnasında aldığınız hata kodlarını veya logları forumda paylaşarak TriageAgent ve topluluktan anında destek alın.