微软公布 NTLM 安全机制调整方案，计划从 2027 年 5 月开始，Windows 系统默认拒绝 NTLM 未签名连接，这项改动主要用来遏制 NTLM 中继攻击，减少内网环境里攻击者劫持身份凭证、横向渗透的风险，企业 IT 需要提前排查老旧设备、第三方业务系统，确认是否支持 NTLM 消息签名，不然到期之后相关业务、打印机、文件共享、老工控设备会直接连不上。NTLM 是一套沿用很多年的 Windows 身份认证协议，协议本身设计存在短板，在没有消息签名保护的时候，攻击者可以在内网抓包、中转身份请求，也就是 NTLM 中继攻击，拿到用户凭证之后访问其他服务器。过去 Windows 虽然自带 NTLM 消息签名功能，但默认配置宽松，很多企业为兼容老旧设备，长期关闭签名或者设置成可选，大量内网共享、扫描仪、NAS、老工控软件只支持无签名 NTLM。这次变更会分阶段灰度推进，先通过预览版、可选策略上线，到 2027 年 5 月正式强制开启，只要客户端或者服务端任意一方不支持 NTLM 签名，连接就会被阻断。企业 IT 的处理思路一般是先扫描内网哪些设备、服务依赖未签名 NTLM，优先升级固件和软件开启签名，实在无法升级的遗留设备，只能短期通过组策略添加例外名单，但微软不建议长期保留例外，例外会再次引入中继攻击漏洞。整个调整周期时间还算充裕，但内网存量老旧资产多，如果拖到临近截止日期再整改，很容易出现大面积业务中断。
NTLM 安全调整核心信息清单
- 变更主体：微软 Windows NTLM 认证机制
- 关键时间节点：2027 年 5 月起默认拒绝 NTLM 未签名连接
- 核心目的：阻止 NTLM 中继攻击，提升内网身份安全
- 受影响对象：文件共享、网络打印机、NAS、工控设备、老旧业务系统、第三方客户端
- 前置阶段：先在预览版提供配置项，逐步测试，不是一次性强制上线
- 兜底方案：组策略可配置例外列表，仅作为临时兼容手段
- 替代长期方案：优先迁移至 Kerberos 认证
未签名 NTLM VS 开启消息签名 NTLM 对比表
| 对比项 | 未签名 NTLM 连接 | 开启消息签名 NTLM 连接 |
|---|---|---|
| 安全风险 | 易遭受 NTLM 中继攻击，凭证可被劫持中转 | 消息带签名校验，攻击者无法篡改、中继请求 |
| 兼容性 | 老旧设备、低版本系统普遍支持 | 部分老固件、老软件不支持，连接失败 |
| 性能开销 | 几乎无额外开销 | 少量计算开销，普通业务感知不明显 |
| 2027-05 之后默认策略 | 系统直接拒绝建立连接 | 允许正常认证通信 |
| 适用场景 | 仅临时兼容遗留设备（不推荐） | 标准内网业务、域环境、文件共享 |
企业内网整改落地步骤
- 资产扫描：用工具检索内网主机、网络设备，识别所有依赖未签名 NTLM 的服务和终端
- 分类标记：区分可以升级固件 / 软件的设备，以及已经停产、无法更新的遗留设备
- 优先改造：推动设备厂商升级，开启 NTLM 消息签名，或者改成 Kerberos 认证
- 例外管控：无法改造的设备，添加组策略例外，做好台账，限制访问范围
- 持续验证：在测试域提前开启策略复现问题，分批灰度上线，避免生产故障
- 定期复盘：逐步淘汰例外资产，减少内网安全短板
【相关 FAQ】
问题 1：Windows NTLM 安全机制调整，微软 2027 年 5 月拒绝未签名连接主要防什么攻击？
回答 1：Windows NTLM 安全机制调整，微软 2027 年 5 月拒绝未签名连接主要用来防范 NTLM 中继攻击，防止攻击者在内网劫持 NTLM 身份凭证横向入侵。
问题 2：微软强制 NTLM 签名之后，哪些设备最容易受影响、连不上 Windows？
回答 2：微软强制 NTLM 签名之后，老旧网络打印机、NAS 存储、工控设备、老版本第三方业务系统这些不支持 NTLM 消息签名的设备，会出现认证失败、无法访问共享的问题。
问题 3：NTLM 消息签名开启之后，能不能完全替代 Kerberos？
回答 3：不能，开启 NTLM 消息签名只是修补 NTLM 中继漏洞，NTLM 本身安全性弱于 Kerberos，Windows NTLM 安全机制调整的长期推荐方案还是迁移到 Kerberos 认证。
问题 4：企业有老设备没法开启 NTLM 签名，在 2027 年 5 月之后还有办法继续使用吗？
回答 4：可以通过 Windows 组策略添加未签名 NTLM 连接的例外名单，但这只是临时兼容手段，会重新引入 NTLM 中继攻击风险，微软不建议长期大量使用例外。
【参考资料】
[2026-11-14]（Windows NTLM 安全机制调整：微软计划 2027 年 5 月起拒绝未签名连接，降低中继攻击风险）安全客
[2026-11-13]（微软官宣 NTLM 签名强制时间表，2027 年封堵中继攻击）嘶吼安全学院
[2026-11-13]（Microsoft timeline for blocking unsigned NTLM traffic to mitigate relay attacks）BleepingComputer
【免责声明】
以上内容基于微软公开安全公告、网络安全媒体报道整理，仅为技术变更科普，不构成企业域环境改造方案；Windows NTLM 安全机制调整的上线节奏、组策略选项后续微软仍可能调整，企业上线前务必在测试环境验证，所有改造操作建议由专业运维人员实施。
本文来自作者[离子棱镜]投稿，不代表乌兰科技网立场，如若转载，请注明出处：https://www.wlcbnews.com/itzx/202611/2891.html
评论列表（4条）
我是乌兰科技网的签约作者“离子棱镜”！
希望本篇文章《Windows NTLM 安全机制调整，微软计划 2027 年 5 月拦截未签名连接抵御中继攻击》能对你有所帮助！
本站[乌兰科技网]内容主要涵盖：互联网行业的追踪与探索
本文概览：微软公布 NTLM 安全机制调整方案，计划从 2027 年 5 月开始，Windows 系统默认拒绝 NTLM 未签名连接，这项改动主要用来遏制 NTLM 中继攻击，减少内网环境里攻击者劫持身份凭证、横向渗透的风险，企业 IT 需要提前排查老旧设备、第三方业务系统，确认是否支持 NTLM 消息签名，不然到期之后相关业务、打印机、文件共享、老工控设备会直接连不上。NTLM 是一套沿用很多年的 Windows 身份认证协议，协议本身设计存在短板，在没有消息签名保护的时候，攻击者可以在内网抓包、中转身份请求，也就是 NTLM 中继攻击，拿到用户凭证之后访问其他服务器。过去 Windows 虽然自带 NTLM 消息签名功能，但默认配置宽松，很多企业为兼容老旧设备，长期关闭签名或者设置成可选，大量内网共享、扫描仪、NAS、老工控软件只支持无签名 NTLM。这次变更会分阶段灰度推进，先通过预览版、可选策略上线，到 2027 年 5 月正式强制开启，只要客户端或者服务端任意一方不支持 NTLM 签名，连接就会被阻断。企业 IT 的处理思路一般是先扫描内网哪些设备、服务依赖未签名 NTLM，优先升级固件和软件开启签名，实在无法升级的遗留设备，只能短期通过组策略添加例外名单，但微软不建议长期保留例外，例外会再次引入中继攻击漏洞。整个调整周期时间还算充裕，但内网存量老旧资产多，如果拖到临近截止日期再整改，很容易出现大面积业务中断。