凭证转储：NTLM哈希转储
原文英文，约700词，阅读约需3分钟。
📝
内容提要
NTLM（NT LAN Manager）是微软的安全协议，提供用户身份验证和加密。尽管已过时，但因兼容性仍被广泛使用。NTLM通过哈希存储用户密码，并使用挑战/响应机制进行身份验证。攻击者可通过NTLM凭证转储获取哈希，进而进行未授权访问。常用提取工具包括ProcDump和Mimikatz，需注意检测和误报风险。
🔎
延伸解读
NTLM的安全性与风险
尽管NTLM通过哈希存储用户密码以增强安全性，但其仍存在被攻击者利用的风险。攻击者可以通过凭证转储获取哈希，进而进行未授权访问。因此，企业在使用NTLM时需加强监控和防护措施，防止潜在的安全漏洞。
提取工具的合法性与滥用
许多提取NTLM哈希的工具如ProcDump和Mimikatz在合法场景下也被使用，但攻击者同样可以利用这些工具进行恶意活动。企业应关注这些工具的使用情况，确保其仅在合规的情况下被使用，以降低被滥用的风险。
检测与误报的挑战
在检测NTLM哈希提取活动时，误报是一个常见问题。由于某些工具在合法操作中也会被使用，企业需要优化其SIEM和EDR系统，以减少误报并提高对真正威胁的响应能力。
❓
Q&A
NTLM是什么？
NTLM（NT LAN Manager）是微软的一套安全协议，提供用户身份验证和加密。
NTLM如何存储用户密码？
NTLM通过哈希存储用户密码，增强安全性，防止实际密码暴露。
攻击者如何提取NTLM哈希？
攻击者可以使用工具如ProcDump、Mimikatz等从LSASS内存中提取NTLM哈希。
NTLM凭证转储的风险是什么？
NTLM凭证转储可能导致未授权访问和网络内的横向移动。
使用ProcDump提取NTLM哈希的检测策略是什么？
检测策略包括监控事件ID 4688，检查进程名称为'procdump.exe'和命令行包含'lsass.exe'。
Mimikatz工具的功能是什么？
Mimikatz可以提取LSASS内存中的NTLM哈希，并执行传递哈希攻击。
🏷️
