ترحيل NTLM

ترحيل NTLM هو أسلوب هجوم يعترض رسائل مصادقة NTLM الخاصة بويندوز ويعيد توجيهها إلى خدمة أخرى تقبلها. وبدلاً من كسر كلمة المرور، يعيد المهاجم استخدام تبادل المصادقة الحي الخاص بالضحية لانتحال شخصية ذلك المستخدم أو الجهاز. وقد يؤدي ذلك إلى وصول غير مصرح به، خاصة عندما لا تتطلب الخدمات وسائل حماية إضافية مثل التوقيع، أو ربط القناة، أو المصادقة متعددة العوامل القوية.

تنبع أهميته من أن NTLM لا يزال موجودًا في كثير من شبكات المؤسسات، والتطبيقات القديمة، وسير العمل الإداري. وغالبًا ما يستخدم المهاجمون الترحيل ضد SMB أو LDAP أو HTTP أو خدمات أخرى للحصول على امتيازات، أو إنشاء حسابات، أو الوصول إلى أنظمة حساسة من محيط مكشوف. ويقلل المدافعون من المخاطر عبر تعطيل NTLM حيثما أمكن، وفرض توقيع SMB وتوقيع LDAP، واستخدام المصادقة متعددة العوامل للوصول عن بعد، وتقسيم الشبكات، ومراقبة مسارات المصادقة غير المعتادة أو سلاسل تسجيل الدخول المشبوهة.