Sie planen, LDAP-Signierung und LDAP-Kanalbindung auf allen Domänencontrollern zu erzwingen. Bevor Sie dies erzwingen, möchten Sie inkompatible Clients identifizieren, ohne deren Funktionalität zu beeinträchtigen. Was sollten Sie zuerst bereitstellen? (Wählen Sie zwei)

Um inkompatible Clients zu identifizieren, ohne deren Funktionalität zu beeinträchtigen, sollten Sie zuerst die Überwachungsmodi aktivieren. Das Setzen von LdapEnforceChannelBinding=1 auf Domänencontrollern erlaubt weiterhin Bindungen ohne Kanalbindungstoken, protokolliert diese aber, was die Identifizierung nicht konformer Clients ermöglicht. Gleichzeitig muss die Diagnoseprotokollierung 'LDAP Interface Events' auf Stufe 2 aktiviert werden. Dies stellt sicher, dass Ereignis-ID 2889 protokolliert wird, welches detaillierte Informationen über Clients enthält, die unsignierte oder nicht gebundene LDAP-Anfragen senden. Das sofortige Setzen von 'Domänencontroller: LDAP-Server-Signaturanforderungen' auf 'Signierung erforderlich' würde die Funktionalität inkompatibler Clients sofort beeinträchtigen und ist daher nicht die erste Maßnahme. Das Deaktivieren von NTLM erzwingt nicht direkt die LDAP-Signierung oder Kanalbindung und ist eine zu drastische Maßnahme mit weitreichenden Auswirkungen. Die Überwachung von Sicherheitsereignis 4624 allein ist unzureichend, da es keine spezifischen Details zur LDAP-Signierung oder Kanalbindung pro Client liefert.