NTLMとは？Windows NTLMのセキュリティリスクと移行ガイド

NTLMは重大な脆弱性を持つWindows認証プロトコルです。Pass-the-Hash攻撃、リレーリスク、2026年10月までの移行について解説します。

NTLMとは

NTLM（NT LAN Manager）は、パスワードをネットワーク上で送信せずにチャレンジレスポンス認証を用いてユーザーを検証するWindows認証プロトコルです。Microsoftの公式ドキュメントによると、NTLMはレガシーLAN Manager、NTLMv1、現在のNTLMv2標準など複数のプロトコルバージョンを含みます。Kerberosは20年以上前にActive Directory環境の推奨 認証方式としてNTLMに取って代わりましたが、NTLMは依然としてエンタープライズネットワークでワークグループ認証、非ドメインコントローラーでのローカルログオン、Kerberosネゴシエーションが失敗した場合などで利用されています。

チャレンジレスポンスプロセスはシンプルなやり取りで動作します。ネットワークリソースに接続すると、サーバーはクライアントに16バイトのチャレンジを送信します。システムはこのチャレンジをパスワードハッシュで暗号化し、応答をサーバーに返します。サーバーはこの認証情報をSecurity Accounts ManagerデータベースまたはActive Directoryと照合して検証します。認証は暗号化されたハッシュのみが送信され、実際のパスワードは送信されません。この設計により、ハッシュを本人証明として扱うことが、今日攻撃者に悪用されるセキュリティ脆弱性を生み出しました。

NTLMがセキュリティリスクとなる理由

認証情報窃取の統計によると、過去10年間の全侵害の31%が認証情報窃取に関与しており、 Verizon 2025 Data Breach Investigations Reportで報告されています。NTLM攻撃はこの継続的な脅威の大きな要素であり、プロトコルがパスワードハッシュを保存し、攻撃者が実際のパスワードを解読せずに盗用・再利用できるためです。

攻撃者はNTLMハッシュをメモリやネットワークトラフィックから抽出し、盗んだハッシュをWindowsに直接渡してファイルサーバーやドメインコントローラーに認証します。セキュリティ制御は正規のNTLM認証として認識し、攻撃は不可視のまま進行します。

CISAは2025年3月、Windows NTLMハッシュ漏洩の脆弱性CVE-2025-24054を Known Exploited Vulnerabilities catalogに追加しました。Microsoftは2025年3月にこの脆弱性へパッチを提供しましたが、NTLMの廃止にはID基盤、アプリケーション、ネットワークサービス全体での移行が必要なため、攻撃対象領域は依然として残ります。特にMicrosoftが2026年10月にNTLMv1自動強制を予定していることから、このスケジュールは重要です。

NTLM認証の仕組み

NTLMのアーキテクチャは、なぜ攻撃者が環境を侵害できるのか、なぜ移行が複雑なのかを示しています。

• 認証パッケージとハッシュ保存: MSV1_0認証パッケージはMsv1_0.dllコンポーネントを通じて全NTLM認証を処理します。LSASSメモリが侵害されると、攻撃者はパスワードハッシュを直接抽出できます。環境には2種類のハッシュが保存されます。LMハッシュは壊れたDES暗号化を用い大文字小文字を区別せず、レインボーテーブル攻撃が容易です。NTハッシュはMD4を用い大文字小文字を区別します。両者はSAMまたはActive Directoryに保存され、認証情報そのものとして機能します。パスワード解読は不要です。
• チャレンジレスポンス機構: サーバーは16バイトのランダムチャレンジを生成し、ワークステーションはパスワードハッシュで暗号化、サーバーはLsaLogonUser APIで応答を検証します。NTLMv2はHMAC-MD5ベースの応答計算と追加ランダムデータを用い、より強力な暗号保護を提供します。両プロトコルに共通する根本的な脆弱性は、パスワードハッシュ自体が認証情報として機能する点です（MITRE ATT&CK T1550.002）。
• LAN Manager認証レベル: レジストリキーHKLM\System\CurrentControlSet\Control\Lsa\LmCompatibilityLevelは、システムが受け入れるNTLMバージョンを決定します。多くの企業はレベル3（NTLMv2応答のみ送信）で運用していますが、NIST推奨のレベル5（LMおよびNTLMを完全拒否）ではなく、攻撃可能なギャップが生じます。

これらのアーキテクチャ要素、特にLSASSメモリ内のハッシュ保存とパススルー認証機構が、攻撃者に認証情報の傍受や抽出の機会を複数提供します。

NTLM攻撃ツールと手法

攻撃者はNTLMの脆弱性を悪用する専用ツールを用いて認証情報窃取や ラテラルムーブメントを実行します。これらのツールを理解することで、防御側は攻撃パターンを認識し、適切な制御を実装できます。

• 認証情報抽出ツールは、Windowsがアクティブセッション中にパスワードハッシュを保存するLSASSメモリを標的とします。 Mimikatzは最も有名なツールで、sekurlsa::logonpasswordsなどの手法でメモリから認証情報をダンプします。攻撃者はreg saveコマンドなどWindows標準機能を用いてSAMおよびSYSTEMレジストリハイブをエクスポートし、オフラインでハッシュ抽出も行います。WCE（Windows Credentials Editor）などのメモリフォレンジックツールは、一部のエンドポイント検知を回避しつつ追加の抽出機能を提供します。
• Pass-the-Hashフレームワークは、パスワード解読不要で盗んだハッシュを用いた認証を可能にします。ImpacketのPythonベースツールキットには、NTLMハッシュを直接受け付けてWindowsシステムへのリモートコマンド実行を行うpsexec.pyやwmiexec.pyモジュールが含まれます。CrackMapExecは複数ターゲットへのPass-the-Hash攻撃を自動化し、エンタープライズネットワーク内で迅速なラテラルムーブメントを実現、成功した認証を記録してさらなる悪用に利用します。これらのフレームワークはハッシュスプレー機能も統合し、侵害された認証情報を受け入れるシステムを特定します。
• NTLMリレーツールキットは、認証要求を傍受し不正なターゲットシステムへ転送します。ResponderはローカルネットワークセグメントでLLMNR、NBT-NS、MDNSの名前解決応答をポイズニングし、NTLM認証を捕捉します。システムがホスト名解決を試みると、Responderは攻撃者制御のIPアドレスで応答し、認証試行を捕捉します。Impacketのntlmrelayxモジュールは、捕捉した認証をSMB、LDAP、HTTP、MSSQLサービスへリレーし、重要サービスでExtended Protection for Authenticationが無効な場合に権限昇格を可能にします。
• 強制認証手法は、ユーザー操作なしでターゲットシステムに攻撃者制御サーバーへの認証を強制します。PetitPotamはMS-EFSRPCインターフェースを悪用し、ドメインコントローラーに任意の宛先への認証を強制、Active Directory証明書サービスへの直接的な認証情報捕捉やリレー攻撃を可能にします。PrinterBug（SpoolSampleとも呼ばれる）はPrint Spoolerサービスのリモートインターフェースを悪用し、同様の強制認証を実現します。これらの手法は従来のフィッシング要件を完全に回避し、悪意あるコンテンツと一切やり取りしないシステムからも認証情報窃取を可能にします。

防御側の検知は、メモリ内のツールシグネチャ、異常なLSASSアクセスパターン、予期しない認証フロー、リレー試行を示すネットワークトラフィックの監視に重点を置きます。しかし、検知だけではこれらの攻撃を可能にするプロトコルの根本的な弱点を解決できません。

NTLMの脆弱性

プロトコルのアーキテクチャ上の弱点は、ネットワークレベルやIDベースの補完的な保護なしでは、防御側制御だけで完全に対処できない恒常的なセキュリティギャップを生み出します。

• Pass-the-Hash攻撃（MITRE ATT&CK T1550.002）は、NTLMがパスワードハッシュを認証情報として利用する点を悪用します。攻撃者がLSASSメモリ、SAMデータベース、ネットワークキャプチャからハッシュを抽出すると、パスワードを知らなくても本人として認証できます。Credential GuardはWindows 10 EnterpriseまたはWindows 11のTPM 2.0搭載システムで仮想化ベースのセキュリティにより部分的な保護を提供します。SMB署名、LDAP署名、Extended Protection for Authenticationなどのネットワークレベル保護はNTLMリレー攻撃を阻止します。
• NTLMリレー攻撃は、クライアントとサーバー間のチャレンジレスポンス機構を傍受・操作します。攻撃者は認証試行を受け取り、任意のターゲットシステムへリレーし、リアルタイムで不正アクセスを取得します。Extended Protection for Authenticationはチャネルバインディングによりリレー攻撃を阻止しますが、Exchange Server、Active Directory証明書サービス、LDAPで明示的な設定が必要です。多くの企業はこれら重要サービスでEPAを有効化しておらず、Microsoftも歴史的にデフォルトでEPAを無効化して出荷していました。
• レガシーバージョンの暗号脆弱性は本番環境に残存しています。LMハッシュはDES暗号化（暗号的に破綻したアルゴリズム）を用い、パスワードを大文字化し7文字ごとに分割します。NTLMv1は暗号強度を改善しますが、オフライン総当たり攻撃に依然として脆弱です。NTLMv2のみが現代的な 暗号保護を提供しますが、多くの組織は後方互換性のためNTLMv1を受け入れる混在環境で運用しています。

2026年10月の強制期限は、移行を遅らせている組織に運用リスクをもたらします。Microsoftは3段階のスケジュールを設定しています：

1. フェーズ1（2024年12月）: 廃止開始
2. フェーズ2（2025年9月）: 監査モードをデフォルトで有効化
3. フェーズ3（2026年10月）: BlockNtlmv1SSOレジストリキーを管理者操作なしで強制モードに自動移行

移行計画を開始していない組織は、強制開始時に認証障害の重大なリスクに直面します。

NTLMからの移行方法

エンタープライズのNTLM移行には、経営層の支援を得た構造化された段階的実行が必要です。環境の複雑さやレガシーアプリ依存度により、完全な実装には通常18～22か月を要します。

フェーズ1：発見と監査（1～3か月目）

移行やブロックポリシー適用前に、すべてのドメインコントローラーとメンバーサーバーでNTLM監査を完全に有効化します。Network security: Restrict NTLM: Audit NTLM authentication in this domainを「Audit all」に設定し、ブロックは行いません。Windows 11 24H2およびWindows Server 2025は、プロセス名、理由コード、ユーザー名・ドメイン情報、NTLMバージョンを記録する強化監査イベントを提供します。定期サービスやスケジュールタスク、月次プロセスを捕捉するため、最低30～90日間監査ログを収集します。ログを分析し、システム種別・アプリケーション・対応難易度ごとに分類した依存関係インベントリを作成します。

フェーズ2：対応計画（4～6か月目）

NTLM依存を対応方法と難易度で分類します。ワークグループ参加システムはドメイン参加、Azure AD登録、またはネットワーク分離による例外継続が必要な場合があります。レガシーアプリはベンダーとKerberos対応時期の調整や、移行パスがない場合はアプリ置換計画が必要です。ファームウェア制限のあるネットワーク機器はアップグレード計画、代替調達、またはNTLMトラフィックを分離するネットワーク分割戦略が求められます。

フェーズ3：Kerberosパイロット展開（7～9か月目）

レガシー依存が最小限の低リスク組織単位を選定し、初期のKerberos専用強制を実施します。Network security: Restrict NTLM: NTLM authentication in this domainをパイロット範囲のみ「Deny all」に設定します。認証失敗やアプリケーション問題を綿密に監視し、本番展開時の参考となる全対応手順を記録します。パイロットシステムがNTLM認証なしで完全に機能することを検証します。

フェーズ4：本番展開（10～18か月目）

パイロットの知見をもとに、組織単位ごとにKerberos強制を体系的に拡大します。機密データや特権アクセスシステムを含む高セキュリティ環境を優先します。レガシー依存の例外リストは文書化し、ネットワーク分割、強化監視、アクセス範囲制限などの補完的制御を実施します。NTLMアクセス継続が必要なシステムはネットワーク分割を実施し、ラテラルムーブメントのリスクを低減します。

フェーズ5：強制（19～22か月目）

Microsoftの2026年10月自動強制期限前にBlockNtlmv1SSOを有効化します。本番範囲でNTLM認証ゼロを確認するため、監査ログを徹底的にレビューし、移行完了を検証します。残存例外は正式なリスク受容と補完的制御を文書化し、コンプライアンスや監査に備えます。

移行計画と並行して、組織は即時の防御ギャップにも対応する必要があります。多くのセキュリティチームは、不完全または誤設定の保護により環境を危険にさらしています。

よくあるNTLM防御の誤り

多層的なNTLM防御を実装しないと、攻撃可能なセキュリティギャップが生じます。

1. SMB署名を有効化するが必須化しない。 ファイルサーバー全体で「Microsoft network server: Digitally sign communications」設定を有効化する一方、クライアント側の必須設定を見落とします。監査ではサーバー側が準拠と表示されますが、ペネトレーションテスターはクライアントが署名を要求しない場合に「有効」設定が署名なし接続へのダウングレードを許容し、NTLMリレー攻撃が成功することを実証します。サーバー側（Microsoft network server: Digitally sign communications (always)）とクライアント側（Microsoft network client: Digitally sign communications (always)）の両方を同時に「Enabled」に設定する必要があります。 Microsoft SMBセキュリティガイダンスによれば、サーバーのみの設定では誤設定クライアント経由で攻撃可能なギャップが生じます。
2. Credential GuardがNTLMリレー攻撃を阻止すると誤信する。 Credential Guardを管理者用ワークステーションやドメインコントローラーに導入し、経営層にNTLM攻撃対策が完了したと報告します。しかし、攻撃者は保護されていないLDAPサービスへのNTLMリレーで環境を侵害します。Credential GuardはLSASSメモリ内の認証情報を仮想化ベースのセキュリティで保護し、侵害システムからの認証情報窃取を防ぎますが、ネットワークレベルのNTLMリレー攻撃には無力です。組織はエンドポイント認証情報保護とネットワークレベルのリレー防止を同時に実施する必要があります。
3. 重要サービスでEPAを一貫して実装しない。 セキュリティチームは2021年のPetitPotam以降、Active Directory証明書サービスでExtended Protection for Authenticationを有効化しましたが、LDAPサービスにはEPAが未設定で攻撃者がNTLM認証をリレーします。EPAはAD CS、LDAP、Exchange Server、Windows統合認証を利用するカスタムアプリなど、NTLM対応全サービスで設定が必要です。

これらの誤りを回避するには、全攻撃ベクトルを同時に対処する体系的なNTLM防御アプローチが必要です。

NTLM防御のベストプラクティス

ネットワーク、エンドポイント、ID層でプロトコルの弱点に対応する多層的制御により、認証情報ベースのラテラルムーブメントを阻止します。

• NTLM監査ログを即時に完全有効化する。 移行やブロックポリシー適用前に、すべてのドメインコントローラーとメンバーサーバーでNTLM監査ポリシーを有効化します。Network security: Restrict NTLM: Audit NTLM authentication in this domainを「Audit all」に設定します。定期サービスやスケジュールタスクを捕捉するため、最低30～90日間監査ログを収集し、依存関係インベントリを作成します。
• SMB署名を環境全体で強制する。 コンピューターConfiguration > Policies > Windows Settings > Security Settings > Local Policies > Security Optionsでグループポリシーを二重設定します。Microsoft network server: Digitally sign communications (always)とMicrosoft network client: Digitally sign communications (always)の両方をEnabledに設定します。クライアントとサーバーで署名設定が異なる場合のダウングレード攻撃を防止します。
• 全重要サービスでExtended Protection for Authenticationを設定する。 EPAはNTLM認証にチャネルバインディングを追加し、TLSセッションに認証を紐付けることで認証情報リレーを防止します。EPAはActive Directory証明書サービス、すべてのドメインコントローラー上のLDAP、Exchange Serverを優先して実装します。Windows Server 2025ではこれらサービスでEPAがデフォルト有効化されます。
• 高価値システムにCredential Guardを導入する。 ドメインコントローラー、管理者用ワークステーション、機密データ処理システムにCredential Guardを実装します。Credential GuardにはTPM 2.0、UEFIセキュアブート、プロセッサ仮想化拡張、Hyper-Vサポートが必要です。
• すべてのドメインコントローラーでLDAP署名を必須化する。 Domain controller: LDAP server signing requirementsをグループポリシーで「Require signing」に設定し、Domain Controllers組織単位に適用します。Windows Server 2025ではLDAPチャネルバインディングがデフォルトで有効化されます。
• Pass-the-Hash識別のためのイベント相関を実装する。  SIEMで複数のドメインコントローラーやメンバーサーバーのWindowsセキュリティイベントIDを相関させます。特権アカウントでEvent ID 4624（成功したログオン）のLogon Type 3（ネットワークログオン）かつ認証パッケージ「NTLM」が、同一ソースIPから過去10時間以内にEvent ID 4624 Logon Type 2（対話型ログオン）が存在しない場合にアラートを発報します。

これらの手動制御は重要な保護を提供しますが、認証情報ベースの攻撃は人手による調査サイクルよりも速く進行することが多いです。行動ベースAIはPass-the-Hash活動をリアルタイムで特定・阻止できます。

SentinelOneによるNTLM攻撃の阻止

対応の遅延が、ラテラルムーブメント阻止と侵害後調査の分岐点となります。SentinelOneは、MITRE ATT&CK T1550.002に分類されるPass-the-Hash手法を認識する行動ベースAIで認証情報ベースの攻撃を検出します。

Singularity™ Identityは、ハイブリッド環境全体の可視性を提供し、露出の検出と認証情報悪用の阻止を実現します。IDリスクを低減し、リアルタイムのID保護を提供します。エンドポイントとIDのアクティビティを相関させ、コンテキスト駆動型の検知と迅速なトリアージが可能です。また、分断された環境の死角を排除し、Active DirectoryやOkta、Ping、SecureAuth、Duo、Entra IDなどのクラウドIDプロバイダーの強化も可能です。攻撃試行から得たインサイトを活用し、繰り返しの侵害を阻止し、権限昇格の防止にも役立ちます。

SentinelOneは、エンドポイント保護プラットフォーム分野で5年連続Gartner Magic Quadrantリーダーに選出されています。MITRE ATT&CK評価では、SentinelOneは12件のアラートのみを生成し、主要競合は178,000件（88%削減）を生成しました。このノイズ削減により、数千件のセキュリティイベントが単一の実行可能インシデントに集約され、認証情報悪用調査が数千件の認証イベント確認から、完全なフォレンジックコンテキストの数秒分析へと変革されます。

Singularity Platformは、単一エージェントとコンソールで統合 XDR機能を提供し、エンドポイント・クラウド・IDセキュリティを1つのデータレイクに統合します。特許取得済みのStorylineテクノロジーは、エンタープライズ環境全体のイベントデータを自動的に監視・追跡・コンテキスト化し、攻撃をリアルタイムで再構築します。

Purple AIは、自然言語クエリで環境全体の認証イベントを相関し、脅威調査を加速します。アーリーアダプターの報告では最大80%の脅威ハンティング高速化が実現されており、セキュリティアナリストはクエリ言語を知らなくてもログ検索が可能で、攻撃全体のコンテキストと推奨次ステップを受け取れます。

デモをリクエストし、SentinelOneの行動ベースAIが権限昇格前に認証情報ベースの攻撃を阻止する様子をご確認ください。

重要なポイント

NTLM攻撃は認証情報窃取を悪用し、従来の対応が阻止する前にラテラルムーブメントを可能にします。2026年10月の強制期限により、即時の移行計画が必要です。MicrosoftはBlockNtlmv1SSOレジストリキーを監査モードから強制モードに自動変更し、管理者操作なしでNTLMv1ブロックを実施します。

効果的な防御には、サーバー・クライアント双方でのSMB署名、AD CS・LDAP・Exchange Serverなど重要サービスでのExtended Protection for Authentication、エンドポイント認証情報保護のためのCredential Guard（休止中認証情報保護でありネットワークリレー攻撃は阻止しない点に注意）、強制前の依存関係特定のための完全な監査ログなど、補完的な多層制御が求められます。

エンドポイントとID基盤全体の認証パターンを相関する行動ベースAIは、権限昇格前に認証情報悪用を検出します。

よくある質問

NTLMとは何ですか？

NTLM（NT LAN Manager）は、パスワードをネットワーク上で送信せずにチャレンジレスポンス方式でユーザーを認証するWindows認証プロトコルです。サーバーがランダムなチャレンジを送信し、クライアントはユーザーのパスワードハッシュでこれを暗号化し、サーバーがその応答を検証します。

KerberosがActive Directoryの推奨認証方式としてNTLMに取って代わりましたが、NTLMはワークグループ環境、ローカルログオン、レガシーアプリケーションのシナリオで依然として利用されています。

NTLMv1とNTLMv2の違いは何ですか？

NTLMv1は、オフラインのブルートフォース攻撃や既知平文攻撃に対して脆弱な、より弱い暗号技術を使用しています。NTLMv2は、ランダムデータとチャネルバインディング機能を備えたHMAC-MD5ベースの応答計算を取り入れており、暗号保護が大幅に強化されています。

Microsoftは2026年10月にNTLMv1のブロックを自動的に強制し、すべてのシステムにNTLMv2以上の使用またはKerberosへの移行を求めます。

エンタープライズ環境でNTLMを完全に無効化できますか？

ワークグループ参加システムへの依存、Kerberos非対応のレガシーアプリケーション、ファームウェア制限のあるネットワーク機器、フォレスト間認証シナリオなどにより、NTLMの完全な排除は依然として困難です。 

Windows Server 2025では、リモートアウトバウンド接続に対するSMB NTLMの完全無効化が可能になります。完全な廃止には、アプリケーションの修正、ハードウェアの交換、18～22か月の移行期間にわたる徹底的なテストが必要です。

Pass-the-Hash攻撃はどのように機能しますか？

攻撃者は、 Mimikatzのようなツールを使用して、LSASSメモリからNTLMハッシュを抽出します。このハッシュは、パスワードの16バイトのMD4表現であり、それ自体が認証資格情報として機能します。WindowsがNTLMを使用して認証する際、比較するのは暗号化されたチャレンジレスポンスであり、パスワードそのものではありません。 

攻撃者が有効なレスポンスを生成するハッシュを保持しているため、WindowsはCredential GuardやEPAなどの追加制御がない限り、正規の認証とPass-the-Hash攻撃を区別できません。

認証の拡張保護とは何であり、なぜ重要なのですか？

認証のための拡張保護は、NTLM認証にチャネルバインディングを追加し、認証トークンをクライアントとサーバー間のTLSセッションにバインドします。このバインディングにより、攻撃者が認証情報を傍受しても、チャネルバインディングトークンが一致しないため、リレーされた認証情報は使用できなくなります。

EPAは、AD CS、LDAP、Exchange Server、その他のWindows統合認証サービスを標的としたNTLMリレー攻撃を防止します。Windows Server 2025では、重要なサービスでEPAがデフォルトで有効化されています。