随着网络安全威胁日益复杂，微软早在多年以前就建议企业从NTLM（NT LAN Manager）认证协议逐步迁移至更安全的Kerberos协议。然而，由于历史遗留系统和兼容性问题，许多企业的Windows环境中仍保留着NTLM的影子。对于IT管理员和安全运维人员而言，确认NTLM究竟是否被禁用，往往需要登录多台服务器、逐项查看组策略或注册表，效率低下且容易遗漏。那么，有没有一种方法可以通过编程手段快速、批量地判断NTLM的状态？本文将介绍几种主流的技术方案。

为何需要程序化检测？

NTLM存在多种已知安全漏洞，包括Pass-the-Hash攻击和中间人攻击。微软在Windows 10/11及Server 2016之后的版本中默认限制了NTLM的使用，但并未完全关闭。在安全合规审查或系统加固过程中，管理员需要确保相关设置已生效。手动检查时，通常要查看“本地安全策略”中的“网络安全：限制NTLM：出站NTLM流量到远程服务器”等选项，或者在注册表中查找RestrictNTLM键值。但当环境中有数十甚至数百台机器时，自动化脚本显然更为实用。

方法一：读取注册表键值

最直接的编程方式是通过读取Windows注册表中的特定键值。NTLM限制的相关信息主要存储在：

HKLM\SYSTEM\CurrentControlSet\Control\Lsa\RestrictNTLM

该路径下通常包含以下键值：RestrictNTLM_InDomain、RestrictNTLM_OutboundNTLM、RestrictNTLM_AddRemoteServerToNtlmForbidden等。如果这些键值存在且值不为0，则表明NTLM已通过注册表被限制。例如，RestrictNTLM_OutboundNTLM值为2表示完全拒绝出站NTLM流量。

代码示例（PowerShell）：

$path = "HKLM:\SYSTEM\CurrentControlSet\Control\Lsa\RestrictNTLM"
if (Test-Path $path) {
    $value = (Get-ItemProperty -Path $path -Name "RestrictNTLM_OutboundNTLM" -ErrorAction SilentlyContinue).RestrictNTLM_OutboundNTLM
    if ($value -eq 2) { Write-Output "NTLM出站流量已禁用" }
} else { Write-Output "未设置NTLM限制（可能NTLM仍启用）" }

这种方法速度快，但需注意：注册表设置可能被组策略覆盖，且部分键值默认不存在。

方法二：通过WMI查询NTLM使用情况

Windows Management Instrumentation（WMI）提供了Win32_NetworkAdapterConfiguration类，可查询网络适配器的认证设置。不过，直接判断NTLM是否被禁用更常用的方法是查询Win32_ComputerSystem或Win32_NTLMInfo（部分版本支持）。更通用的做法是调用Get-WmiObject配合NetSession或NetUse类，但不如注册表直观。

优秀的安全脚本通常会结合WMI与注册表，例如扫描远程计算机的SMB会话是否使用了NTLM来协商认证。如果没有任何设备使用NTLM进行会话建立，则从侧面说明NTLM可能已被禁用。

方法三：利用.NET或C#调用系统API

对于需要集成到大型管理平台的开发者而言，使用C#调用LsaQueryInformationPolicy或NtQueryInformationToken等底层API更为可靠。例如，通过调用LsaQueryInformationPolicy获取PolicyAuditLogInformation，可以提取NTLM的审计设置。但这种方法复杂度较高，需要处理非托管内存。

更简单的.NET方案是使用System.DirectoryServices.Protocols命名空间尝试建立一个LDAP连接，若服务器拒绝NTLM则返回特定错误码，从而间接判断。

方法四：用PowerShell测试基本连接

如果只想快速了解NTLM是否在当前网络中可用，可以使用PowerShell的Test-NetConnection配合特定端口，再结合Invoke-Command尝试使用NTLM认证调用远程命令。例如，尝试连接到远程注册表需要NTLM支持，若失败则可能意味着NTLM已被禁止：

$cred = Get-Credential
try {
    Invoke-Command -ComputerName "TargetPC" -Credential $cred -ScriptBlock { Get-Process } -Authentication Default
    Write-Output "NTLM可能启用（认证成功）"
} catch {
    Write-Output "NTLM可能禁用或网络不可达"
}

注意：这种方法受限于防火墙和权限，且不能百分之百判定，但适用于粗筛。

综合建议：自动化脚本应覆盖多个维度

资深安全专家建议，程序化判断NTLM状态不应依赖单一指标。理想的做法是同时检查以下三项：

  1. 注册表中RestrictNTLM系列键值。
  2. 域组策略中“网络访问：限制NTLM”的配置（可通过Get-GPOReport解析）。
  3. 实际网络流量中是否存在NTLM协商（可通过分析SMB数据包的SecurityBlob字段）。

对于大规模环境，可编写一个PowerShell脚本，遍历域控的Sysvol目录提取组策略，再结合注册表远程查询，最终输出每台计算机的NTLM状态报告。这不仅能回答“是否被禁用”，还能指出哪些计算机仍在使用该协议。

结语

尽管微软不断推进无密码与Kerberos化，但NTLM在很长一段时间内仍会存在于企业内网中。掌握编程检测NTLM状态的方法，是提升安全运维自动化能力的关键一步。无论是通过注册表直接读取，还是通过WMI或API间接判断，核心目的是为后续的禁用或审计工作提供可靠的数据支撑。毕竟，在安全工作中，无法量化的风险往往才是最大的风险。