微软对外公布 Windows NTLM 认证机制的重大变更计划，明确从 2027 年 5 月开始，系统会拒绝没有签名的 NTLM 连接请求，这项改动核心目标就是压制 NTLM 中继攻击这类经典内网渗透手段，在企业域环境里，攻击者常利用未签名 NTLM 会话劫持凭证、横向移动，开启强制签名校验之后，没有消息签名的 NTLM 通信直接被阻断；该策略不是一刀切立刻禁用 NTLM 协议，而是强制启用 NTLM 消息签名，协议本身还可以继续使用，给企业留出很长的迁移、适配窗口期，企业可以提前在组策略、域控制器上开启相关校验，提前排查打印机、老旧工控设备、遗留业务系统这类不支持消息签名的设备，避免到 2027 年 5 月之后业务断连。
为什么微软要针对 NTLM 做强制签名调整
- NTLM 协议本身先天缺陷：NTLM 没有内置消息签名校验，通信报文可以被中间人篡改、中继转发，是内网攻击里最常用的突破口。
- 中继攻击危害大：攻击者拿到 NTLM 会话后，可以劫持身份，在域内横向移动，拿下域控、服务器权限，很多勒索病毒、内网渗透都依赖这个漏洞。
- 存量环境太多，不能直接下线 NTLM：大量老旧工控、打印机、老版本业务软件、嵌入式设备只支持 NTLM，没法直接切换成 Kerberos，直接禁用会造成大面积业务瘫痪。
- 分步落地，降低企业冲击：先设 2027 年 5 月作为硬性截止时间，中间几年作为过渡期，方便 IT 逐步改造、替换不兼容设备。
- 配合微软整体安全路线：推动企业优先迁移到 Kerberos 认证，NTLM 逐步降权，只作为兜底兼容方案。
NTLM 消息签名开启前后对比表
| 项目 | 未开启 NTLM 消息签名（现状） | 2027 年 5 月之后强制签名 |
|---|---|---|
| 通信校验 | 报文无签名，中间人可转发、劫持会话 | NTLM 会话必须附带合法消息签名，无签名直接拒绝连接 |
| 中继攻击风险 | 高，NTLM 中继攻击容易实施 | 大幅降低，中继报文缺少合法签名无法被目标接受 |
| 协议可用性 | NTLM 可用，无签名限制 | NTLM 协议仍可用，但不支持签名的客户端直接被拒绝 |
| 影响对象 | 所有设备默认兼容，老旧设备无障碍 | 老旧打印机、工控、遗留系统如果不支持签名会断连 |
| 推荐场景 | 不建议在高安全域继续使用 | 企业域环境标准配置，作为过渡，长期目标 Kerberos |
企业 IT 落地排查和适配步骤
- 先梳理内网资产清单：标记域内打印机、工控机、老业务服务器、嵌入式终端，确认哪些设备依赖 NTLM。
- 启用审计模式：先在组策略开启 NTLM 消息签名审计，只记录日志、不阻断连接，看哪些设备会报不兼容日志。
- 分类处理异常设备：支持配置的设备，开启 NTLM 消息签名；老旧无固件更新的设备，评估替换方案。
- 优先迁移业务到 Kerberos：域内电脑、主流服务器优先切换 Kerberos，减少对 NTLM 的依赖。
- 分阶段测试：先在测试域、部门试点开启强制签名，验证业务，再全域铺开。
- 持续监控日志直到 2027 年，在截止日期前完成所有不兼容资产整改，避免到期批量断网。
这项安全变更带来的影响
对于普通个人用户，日常家用电脑基本感知不到这个变化，家用环境很少用到域 NTLM 认证；主要冲击对象是企业内网、制造业工控、医院、工厂这类大量老旧设备的场景。它不能彻底消灭 NTLM 所有漏洞，只是把中继攻击门槛拉高，最稳妥的方案还是逐步淘汰 NTLM，转向 Kerberos。安全团队后续的内网攻防，也会把重心放到其他攻击路径上，NTLM 中继这条经典攻击链会慢慢失效。
【相关 FAQ】
问题 1：微软调整 Windows NTLM 安全机制，2027 年 5 月起拦截未签名连接，缓解 NTLM 中继攻击风险，这次改动是直接禁用 NTLM 协议吗？
回答 1：微软调整 Windows NTLM 安全机制，2027 年 5 月起拦截未签名连接，缓解 NTLM 中继攻击风险，并不是禁用 NTLM，只是强制 NTLM 通信必须带消息签名，NTLM 协议本身仍然可以运行。
问题 2：微软调整 Windows NTLM 安全机制，2027 年 5 月起拦截未签名连接，缓解 NTLM 中继攻击风险，NTLM 中继攻击到底是什么？
回答 2：微软调整 Windows NTLM 安全机制，2027 年 5 月起拦截未签名连接，缓解 NTLM 中继攻击风险，NTLM 中继攻击属于内网攻击，攻击者劫持没有签名的 NTLM 认证会话，转发到其他服务器，冒充合法用户拿到权限。
问题 3：微软调整 Windows NTLM 安全机制，2027 年 5 月起拦截未签名连接，缓解 NTLM 中继攻击风险，普通家用电脑会受影响吗？
回答 3：微软调整 Windows NTLM 安全机制，2027 年 5 月起拦截未签名连接，缓解 NTLM 中继攻击风险，家用电脑一般不加入域、很少使用 NTLM 域认证，基本不受该策略影响，主要影响企业域环境。
问题 4：微软调整 Windows NTLM 安全机制，2027 年 5 月起拦截未签名连接，缓解 NTLM 中继攻击风险，企业现在要立刻开启强制签名吗？
回答 4：微软调整 Windows NTLM 安全机制，2027 年 5 月起拦截未签名连接，缓解 NTLM 中继攻击风险，不用立刻强制阻断，建议先开审计模式，排查不兼容设备，逐步改造，给业务留出适配时间。
【参考资料】
[2026-11-12]（微软计划 2027 年 5 月拒绝未签名 NTLM 连接，抵御中继攻击）安全客
[2026-11-12]（Microsoft：NTLM traffic without signing to be blocked starting May 2027）BleepingComputer
[2026-11-12]（Windows NTLM 强制签名变更，域环境整改指南）FreeBuf
[2026-11-11]（NTLM 中继攻击原理与微软新防护方案解析）嘶吼安全研究院
[2026-11-11]（微软官方文档：NTLM message signing enforcement timeline）Microsoft Learn
【免责声明】
本文整理自微软安全公告、网络安全媒体资讯，NTLM 策略生效时间、组策略配置细节以微软官方文档更新为准；企业内网改造存在业务中断风险，上线前务必做充分测试；本文内容仅作安全科普，不构成企业安全改造方案。
本文来自作者[旋场计时使]投稿，不代表乌兰科技网立场，如若转载，请注明出处：https://www.wlcbnews.com/hlw/202611/1918.html
评论列表（4条）
我是乌兰科技网的签约作者“旋场计时使”！
希望本篇文章《微软调整 Windows NTLM 安全机制，2027 年 5 月起拦截未签名连接，缓解 NTLM 中继攻击风险》能对你有所帮助！
本站[乌兰科技网]内容主要涵盖：互联网行业的追踪与探索
本文概览：微软对外公布 Windows NTLM 认证机制的重大变更计划，明确从 2027 年 5 月开始，系统会拒绝没有签名的 NTLM 连接请求，这项改动核心目标就是压制 NTLM 中继攻击这类经典内网渗透手段，在企业域环境里，攻击者常利用未签名 NTLM 会话劫持凭证、横向移动，开启强制签名校验之后，没有消息签名的 NTLM 通信直接被阻断；该策略不是一刀切立刻禁用 NTLM 协议，而是强制启用 NTLM 消息签名，协议本身还可以继续使用，给企业留出很长的迁移、适配窗口期，企业可以提前在组策略、域控制器上开启相关校验，提前排查打印机、老旧工控设备、遗留业务系统这类不支持消息签名的设备，避免到 2027 年 5 月之后业务断连。