Listing: Baseline-Schnellcheck per PowerShell

# Baseline-Schnellcheck NTLM- und
Kerberos-Härtung
# Nur lesend. Vor Produktivnutzung in der
Testumgebung prüfen.
# 1. SMB-Signierung, Server und Client
Get-SmbServerConfiguration | Select-Object
RequireSecuritySignature, EnableSecuritySignature
Get-SmbClientConfiguration | Select-Object
RequireSecuritySignature
# 2. LDAP-Signierung und Channel Binding
auf dem Domaincontroller
$ntds = "HKLM:\SYSTEM\CurrentControlSet\
Services\NTDS\Parameters"
Get-ItemProperty -Path $ntds -Name LDAPServerIntegrity, LdapEnforceChannelBinding
-ErrorAction SilentlyContinue
# 3. Zulaessige Kerberos-Verschluesselungstypen
aus der Richtlinie
$krb = "HKLM:\SOFTWARE\Microsoft\Windows\
CurrentVersion\Policies\System\Kerberos\
Parameters"
Get-ItemProperty -Path $krb -Name SupportedEncryptionTypes -ErrorAction SilentlyContinue
# 4. Dienstkonten mit SPN, aber ohne gesetztes
Verschluesselungsattribut
Get-ADUser -Filter {ServicePrincipalName -like
"*"} -Properties "msDS-SupportedEncryption
Types" |
Where-Object { -not $_."msDSSupportedEncryptionTypes" } |
Select-Object SamAccountName