Festlegen der Verzögerung für die Begrenzung der Authentifizierungsrate (Millisekunden)
Der Wert legt die Wartezeit fest, die der Windows-SMB-Server nach einem fehlgeschlagenen NTLM- oder PKU2U-basierten Authentifizierungsversuch anwendet.
seit 0.9.8.11
Zweck
Registry-Schlüssel anzeigen (1)
HKLM\Software\Policies\Microsoft\Windows\LanmanServer\InvalidAuthenticationDelayTimeInMs
Der Wert legt die Wartezeit fest, die der Windows-SMB-Server nach einem fehlgeschlagenen NTLM- oder PKU2U-basierten Authentifizierungsversuch anwendet. Es handelt sich um einen DWORD-Wert in Millisekunden.
Der Wert 2000 entspricht einer Verzögerung von zwei Sekunden zwischen fehlgeschlagenen Authentifizierungsversuchen. Erfolgreiche Authentifizierungen und die allgemeine Übertragung von SMB-Daten werden durch diese Verzögerung nicht gedrosselt.
Hinweise
Sicherheit
Die Verzögerung erschwert Brute-Force- und Kennwortspray-Angriffe auf den SMB-Server, weil ein Angreifer nicht mehr in kurzer Zeit eine große Anzahl von Anmeldeinformationen ausprobieren kann. Sie ist eine zusätzliche Schutzschicht und ersetzt weder Kontosperrungsrichtlinien noch die Überwachung fehlgeschlagener Anmeldungen.
Die Begrenzung betrifft fehlgeschlagene NTLM- und PKU2U-basierte Authentifizierungsversuche. Kerberos-Authentifizierungen werden nicht auf diese Weise verzögert, da sie vor dem Aufbau der SMB-Verbindung stattfinden.
Mögliche Nebenwirkungen
Auch legitime fehlgeschlagene SMB-Anmeldungen, beispielsweise aufgrund eines falschen oder veralteten Kennworts, unterliegen der festgelegten Verzögerung. Wiederholte Fehlversuche können deshalb langsamer beantwortet werden.
Hinweise
Der SMB-Authentifizierungsratenbegrenzer wird ab Windows Server 2025 und Windows 11, Version 24H2, unterstützt. Microsoft dokumentiert für die Verzögerung einen Bereich von 0 bis 10000 Millisekunden; der Wert muss ein Vielfaches von 100 sein. 2000 ist der dokumentierte Standardwert.
Die Verzögerung wirkt nur, wenn der SMB-Authentifizierungsratenbegrenzer aktiv ist. Dessen Aktivierung wird zusätzlich durch die eigenständige Einstellung EnableAuthRateLimiter beeinflusst. Ein Verzögerungswert von 0 deaktiviert die Ratenbegrenzung.
Microsoft-Dokumentation
Microsoft Learn: SMB-Authentifizierungsratenbegrenzer für Windows konfigurieren
Microsoft Learn: Richtlinien-CSP – LanmanServer