Ihre Domänencontroller laufen unter Windows Server 2019. Die Sicherheitsabteilung möchte verhindern, dass Helpdesk-Administratorkonten sich mit NTLM authentifizieren, die Delegierung von Anmeldeinformationen blockieren und Kerberos auf starke Verschlüsselung beschränken, während die normale Anmeldung aufrechterhalten wird. Was sollten Sie für diese Helpdesk-Konten tun? (Wählen Sie zwei)

Das Hinzufügen der Helpdesk-Konten zur Sicherheitsgruppe „Protected Users“ ist entscheidend. Diese Gruppe schützt vor Credential Theft, indem sie NTLM-Anmeldungen für diese Konten blockiert, die Delegierung von Anmeldeinformationen verhindert und die Lebensdauer von Kerberos-Tickets verkürzt. Zusätzlich müssen die Kerberos-Verschlüsselungstypen AES128HMACSHA1 und AES256HMACSHA1 für die Konten aktiviert und eine Passwortänderung erzwungen werden. Dies stellt sicher, dass Kerberos nur starke Verschlüsselung verwendet, da die Protected Users-Gruppe dies erfordert und alte Passwörter möglicherweise keine AES-Schlüssel ableiten können. Das Aktivieren des Flags „Konto ist vertraulich und kann nicht delegiert werden“ allein verhindert zwar die Delegierung, bietet aber keinen Schutz vor NTLM oder erzwingt starke Kerberos-Verschlüsselung. Eine domänenweite GPO zum Einschränken von NTLM würde die normale Anmeldung für alle Benutzer beeinträchtigen. Das Deaktivieren von Kerberos RC4 auf DCs allein reicht nicht aus, um die Konten zu schützen und die Anforderungen zu erfüllen.