微软将更改SMB安全策略 再想使用彩虹表和密码词典爆破难度剧增

利用彩虹表和密码词典进行各种爆破每时每刻都在网上发生，只要暴露在公网上就一定会有机器人随时上门。而SMB网络文件共享系统被大量企业使用 , 因此针对该文件共享系统的爆破同样威胁企业内部数据的安全性。

话说漏洞其实是最危险的，以前出现的永恒之蓝漏洞就是SMB协议中的 , 当时很多企业未及时更新遭到攻击。除漏洞外使用弱密码就很容易遭到机器人利用，弱密码和强度不是很高的密码对机器人来说非常容易去爆破。

针对这种情况微软测试新的企业安全策略，让常规的爆破手段基本无法利用，这应该可以显著提升企业安全。

SMB验证增加时间限制：

在 Windows Server vNEXT 版中微软新增SMB验证时间限制，此功能目前正在测试稳定版通道还无法使用。根据微软说明启用该策略后默认情况下基于NTLM的身份验证会有2秒延迟，也就是说错误后就得先等待2秒。

1分钟内能尝试的破解次数只有30次，而以前机器人可以每秒发送300次，1分钟可以发送18000次破解请求。估计大多数机器人也不会有耐心如此长时间等待慢慢提交请求，当然如果企业愿意也可以设置更长等待时间。

此功能目前仅在Windows Server vNEXT Build 25069以及更高版本上支持 , 而且还有些问题需要继续调试。这让我想起以前微博上有网友的iPhone被熊孩子不停输入错密码结果被锁定25年 ，只能直接恢复无法解锁。

以下是新策略的设置问题：

此功能有企业管理员进行控制，后续默认情况下启用，但如果企业愿意的话也可以禁用继续使用无限制登录。

微软将在后续获得测试者反馈后进行优化和调整，包括默认间隔时间和行为在后续都有可能按情况发生变化。

某些第三方应用程序调用此功能可能会出现错误，如果测试者发现这种情况可以先禁用、再向微软提交反馈。

#以下是策略设置方法
Set-SmbServerConfiguration -InvalidAuthenticationDelayTimeInMs n
# n的值在0~10000以内，单位是毫秒，设置为0则代表禁用
#使用此命令查看当前值
Get-SmbServerConfiguration
#以上请在Powershell中执行