Active Directory 使用 Kerberos 协议进行验证。由于它是旧协议，自创建以来已采取大量安全增强措施，同时为确保正确的安全状态，必须禁用某些旧选项。

Kerberos 5 网络认证协议 [RFC1510] 的原始规范仅支持使用 DES 加密。
多年以来，加密字符社区一直认为 DES 不安全，这主要是因为 DES 的密钥大小较小。因此，DES 现在是已弃用的不安全加密密码。即使 Active Directory 中的 Kerberos 可以使用它，也应将其禁用。

默认情况下，此检查会跳过已禁用的帐户。若要同时检查已禁用的帐户，请启用全面测试。

注意：AD Starter Scan 及相关插件适用于较小的 AD 部署，以进行初步分析。对于最多 5,000 个用户、组或计算机的 AD 部署，预计可以获得准确的初步分析，而对于包含 Nessus、安全中心和漏洞管理的大型 AD 部署，将返回不完整的结果。如需进一步了解 Active Directory Starter Scan 插件发现的问题，请参阅此博客文章 - https://www.tenable.com/blog/new-in-nessus-find-and-fix-these-10-active-directory-misconfigurations

检测

AD Starter Scan - 弱 Kerberos 加密

medium Nessus 插件 ID 150481

版本 1.150