windows身份验证安全保障核心是机制叠加：优先启用kerberos协议并置顶于iis提供程序列表，禁用ntlm；通过组策略强制强密码、账户锁定及生命周期管理；rdp必须启用nla；高风险操作叠加双因素认证。
windows 环境下的身份验证服务安全保障，核心在于构建可信、可控、可审计的身份鉴别链条——不是靠单一密码，而是靠机制叠加、策略闭环和行为约束。
启用并优先使用 Kerberos 协议
Kerberos 是 Windows 域环境中默认且更安全的身份验证协议，相比 NTLM，它具备票据时效性、双向认证和防重放攻击能力。若服务器加入 Active Directory 域，应确保 IIS 或服务配置中 Kerberos 位于 <providers></providers> 列表首位；禁用 NTLM（或仅作为降级备选）可显著降低凭证哈希被截获后离线破解的风险。检查方式：在 IIS 管理器中打开“Windows 身份验证”功能 → “提供程序”，确认 Kerberos 排在第一位。
强制执行强密码与账户生命周期管理
- 通过组策略（
gpedit.msc或域控 GPO）启用“密码必须符合复杂性要求”，设最小长度为 8 位以上，最长使用期限不超过 90 天 - 禁用 Guest 账户，重命名 Administrator 账户，避免默认名称暴露管理入口
- 启用账户锁定策略：5 次失败登录即锁定 30 分钟，并自动重置计数器，有效阻断暴力试探
- 员工离职时，立即禁用其域账户并回收权限，而非仅删除——保留审计痕迹且防止误删后恢复风险
远程访问必须启用网络级身份验证（NLA）
远程桌面（RDP）若未启用 NLA，会在建立完整会话前暴露图形登录界面，极易成为暴力破解和蓝屏攻击入口。启用方法：在“系统属性 → 远程 → 高级”中勾选“仅允许运行带网络级别身份验证的远程桌面的计算机连接”。该机制要求客户端先完成 Kerberos 或 NTLM 身份验证，再分配会话资源，从源头减少攻击面。
敏感场景叠加双因素认证（2FA）
对管理员账户、财务系统接入、远程运维等高风险操作，不应仅依赖静态密码。可部署基于 RADIUS 的第三方双因素方案（如宁盾），将 Windows 登录流程扩展为“域账号 + 密码 + 动态令牌（短信/APP/硬件）”。动态密码每 60 秒刷新一次、一次性有效，即使主密码泄露，攻击者也无法完成二次校验。注意：需在域控制器或终端准入网关上配置 RADIUS 客户端指向认证服务器，并确保时间同步（Kerberos 和 TOTP 均依赖精准时钟）。
