Windows将默认拒绝未签名NTLM连接：2027年5月生效，域环境现在就该做审计

微软近日宣布了一项安全机制调整：从 2027 年 5 月起，Windows 将默认拒绝未经签名的 NTLM 连接。这是一次跨度不小但方向明确的安全加固。

先说清楚 NTLM 是什么

NTLM（NT LAN Manager）是 Windows 沿用了几十年的身份验证协议。它的设计年代很早，存在一个根本性缺陷：认证过程中的响应可以被截获并重放。攻击者拿到这个响应，就能冒充合法用户访问其他机器——这就是所谓的 NTLM 中继攻击（NTLM Relay）。

这次改了什么

• 默认拒绝未签名连接：过去可以通过注册表关闭签名要求，现在默认开启，且未来版本会逐步移除关闭选项。
• 分阶段推进：2027 年 5 月是”默认拒绝”的节点，之前会有若干轮审计模式，仅记录不阻断。
• 影响面很大：文件共享、打印服务、SQL Server 的域认证、老旧的管理工具、部分 ERP 客户端，都可能依赖 NTLM。

运维该提前做的五件事

1. 开启审计模式，收集三周的日志。事件查看器里筛 NTLM 相关事件 ID，把”哪台机器在用什么方式连谁”摸清楚。
2. 盘点老设备。扫描仪、老式 NAS、工业控制器、打印服务器，这类设备往往只会 NTLMv1，是最大的雷。
3. 优先切 Kerberos。域内服务只要 SPN 配置正确，就能走 Kerberos——这是最彻底的解法。
4. 检查 SMB 签名与 LDAP 签名。这两项是缓解中继攻击的直接手段，即使暂时不能弃用 NTLM，也能把风险压下去。
5. 把”到 2027 年”写进年度计划。这不是一次能临时应付的变更，涉及终端、网络、应用三条线。

容易被忽略的两个坑

坑一：以为只有域环境受影响。 工作组环境、跨域信任、林信任之间的认证同样可能用到 NTLM。

坑二：只关注服务器，不关注客户端。 很多老客户端软件（尤其是财务、ERP、行业专用软件）内置了写死的 NTLM 调用，服务器侧改完了，客户端连不上，业务照样挂。

一句话总结

安全加固的方向不会变，变的是”你还有多少时间”。三周审计、一年改造，看起来宽裕，实际上一到年底预算冻结，能动手的窗口就不多了。有域环境的朋友，建议这周就把审计打开。