什麼是 NTLM？Windows NTLM 安全風險與遷移指南

什麼是 NTLM？

NTLM（NT LAN Manager）是一種 Windows 驗證通訊協定，透過挑戰回應驗證來驗證使用者，而無需在網路間傳輸密碼。根據 Microsoft 的官方文件，NTLM 包含多個通訊協定版本，包括舊版的 LAN Manager、NTLMv1，以及目前的 NTLMv2 標準。雖然 Kerberos 在二十多年前已取代 NTLM，成為 驗證方法 在 Active Directory 環境中的首選，但 NTLM 仍持續活躍於企業網路中，用於工作群組驗證、非網域控制站上的本機登入，以及 Kerberos 協商失敗的情境。

挑戰—回應程序透過直接的交換來運作。當您連線到網路資源時，伺服器會傳送一個 16 位元組的挑戰給您的用戶端。您的系統會使用您的密碼雜湊加密此挑戰，並將回應傳回伺服器；伺服器會根據 Security Accounts Manager 資料庫或 Active Directory 驗證這些認證資訊。驗證程序完成時，只會傳輸加密的雜湊，絕不會傳輸您的實際密碼。這項設計選擇將雜湊視為身分證明，因而造成了攻擊者如今利用的安全性弱點。

為何 NTLM 具有安全風險

認證竊取 統計顯示，根據 Verizon 2025 Data Breach Investigations Report，過去十年中所有外洩事件有 31% 涉及認證竊取。NTLM 攻擊是這種持續性威脅態勢的重要組成部分，因為該通訊協定會儲存密碼雜湊，攻擊者可竊取並重複使用，而無需真正破解密碼。

攻擊者會從記憶體或網路流量中擷取 NTLM 雜湊，然後透過將竊取的雜湊直接傳遞給 Windows，對檔案伺服器和網域控制站進行驗證。當攻擊在無形中展開時，您的安全控制所看到的仍是合法的 NTLM 驗證。

CISA 已將 CVE-2025-24054（Windows NTLM 雜湊洩露漏洞）加入其 Known Exploited Vulnerabilities catalog，此前已確認於 2025 年 3 月遭到主動利用。儘管 Microsoft 已於 2025 年 3 月修補此漏洞，但攻擊面仍然存在，因為淘汰 NTLM 需要在身分基礎架構、應用程式與網路服務之間進行協調遷移。鑑於 Microsoft 將於 2026 年 10 月自動強制執行 NTLMv1 的期限，這個時程尤其重要。

NTLM 驗證如何運作

NTLM 的架構揭示了攻擊者為何能成功攻擊您的環境，以及為何遷移具有顯著複雜性。

• 驗證套件與雜湊儲存： MSV1_0 驗證套件透過 Msv1_0.dll 元件處理所有 NTLM 驗證。LSASS 記憶體一旦遭入侵，攻擊者便可直接擷取密碼雜湊。您的環境會儲存兩種類型的雜湊：LM 雜湊使用已遭破解的 DES 加密且不區分大小寫，因此容易受到彩虹表攻擊；而 NT 雜湊則使用區分大小寫的 MD4。兩者都存在於 SAM 或 Active Directory 中，且本身即可作為驗證認證使用：無需破解密碼。
• 挑戰回應機制： 伺服器會產生一個 16 位元組的隨機挑戰，您的工作站使用您的密碼雜湊對其加密，而伺服器則透過 LsaLogonUser API 驗證回應。NTLMv2 使用基於 HMAC-MD5 的回應計算並加入額外隨機資料，提供更強的密碼學保護。兩種通訊協定都具有一項根本弱點：密碼雜湊本身即可作為驗證認證（MITRE ATT&CK T1550.002）。
• LAN Manager 驗證層級：登錄機碼 HKLM\System\CurrentControlSet\Control\Lsa\LmCompatibilityLevel 決定您的系統接受哪些 NTLM 版本。大多數企業執行的是第 3 級（僅傳送 NTLMv2 回應），而非 NIST 建議的第 5 級（完全拒絕 LM 與 NTLM），因此產生可被利用的缺口。

這些架構元件，尤其是 LSASS 記憶體中的雜湊儲存與傳遞式驗證機制，為攻擊者提供了多個攔截或擷取認證的機會。

NTLM 攻擊工具與技術

攻擊者使用專門工具來利用 NTLM 漏洞，以進行認證竊取與 橫向移動。瞭解這些工具有助於防禦者識別攻擊模式並實施適當控制。

• 認證擷取工具 會鎖定 LSASS 記憶體，因為 Windows 會在作用中工作階段期間於其中儲存密碼雜湊。 Mimikatz 仍是最廣為人知的工具，使用如 sekurlsa::logonpasswords 等技術從記憶體傾印認證。攻擊者也會使用 Windows 原生方法，包括 reg save 命令，以匯出 SAM 與 SYSTEM 登錄配置單元進行離線雜湊擷取。像 WCE（Windows Credentials Editor）這類記憶體鑑識工具可提供額外的擷取能力，並規避部分端點偵測解決方案。
• Pass-the-Hash 框架 可使用遭竊雜湊進行驗證，而無需破解密碼。Impacket 的 Python 工具組包含 psexec.py 與 wmiexec.py 模組，可直接接受 NTLM 雜湊，以對 Windows 系統執行遠端命令。CrackMapExec 可自動化Pass-the-Hash 攻擊，同時橫跨多個目標執行，從而在企業網路中實現快速橫向移動，並記錄成功的驗證以供進一步利用。這些框架整合了雜湊噴灑功能，以識別接受已遭入侵認證的系統。
• NTLM 轉送工具組攔截並轉送驗證請求至未經授權的目標系統。Responder 透過毒化本機網路區段上的 LLMNR、NBT-NS 與 MDNS 名稱解析回應來擷取 NTLM 驗證。當系統嘗試解析主機名稱時，Responder 會以攻擊者控制的 IP 位址回應，從而擷取驗證嘗試。來自 Impacket 的 ntlmrelayx 模組會將擷取到的驗證轉送至 SMB、LDAP、HTTP 與 MSSQL 服務，當關鍵服務上的 Extended Protection for Authentication 仍處於停用狀態時，便可實現權限提升。
• 強制技術 會迫使目標系統在無需使用者互動的情況下，向攻擊者控制的伺服器發起驗證。PetitPotam 利用 MS-EFSRPC 介面，強制網域控制站向任意目的地進行驗證，從而可直接擷取認證或對Active Directory 憑證服務發動轉送攻擊。PrinterBug（也稱為 SpoolSample）濫用 Print Spooler 服務的遠端介面，以達成類似的強制驗證。這些技術完全繞過傳統網路釣魚需求，使攻擊者能從從未與惡意內容互動的系統中竊取認證。

防禦偵測著重於監控記憶體中的工具特徵、異常的 LSASS 存取模式、非預期的驗證流程，以及顯示轉送嘗試的網路流量。然而，僅靠偵測無法解決使這些攻擊成為可能的底層通訊協定弱點。

NTLM 漏洞

此通訊協定的架構弱點造成持續性的安全缺口，若沒有輔助性的網路層級與身分型保護措施，僅靠防禦端控制無法完全解決。

• Pass-the-Hash 攻擊（MITRE ATT&CK T1550.002） 利用 NTLM 將密碼雜湊作為驗證認證的依賴。一旦攻擊者從 LSASS 記憶體、SAM 資料庫或網路擷取中取得您的雜湊，他們便可在不知道您密碼的情況下以您的身分進行驗證。Credential Guard 透過 Windows 10 Enterprise 或具備 TPM 2.0 硬體的 Windows 11 系統上的虛擬化型安全性，提供部分保護。SMB signing、LDAP signing 與 Extended Protection for Authentication 等網路層級保護可阻止 NTLM 轉送攻擊。
• NTLM 轉送攻擊透過攔截用戶端與伺服器之間的驗證，操控挑戰回應機制。攻擊者會接收您的驗證嘗試，將其轉送到其選擇的目標系統，並即時使用您的認證取得未經授權的存取。Extended Protection for Authentication 透過通道繫結阻止轉送攻擊，但需要在 Exchange Server、Active Directory Certificate Services 和 LDAP 上明確設定。大多數企業在未啟用 EPA 的情況下執行這些關鍵服務，因為 Microsoft 歷來出貨的產品預設都停用 EPA。
• 舊版中的密碼編譯弱點 在正式環境中持續存在。LM 雜湊使用 DES 加密，這是一種在密碼學上已被破解的演算法，同時會將密碼轉換為大寫並拆分為 7 個字元的區塊。NTLMv1 提升了密碼編譯強度，但仍容易受到離線暴力破解攻擊。只有 NTLMv2 提供現代 密碼編譯保護，但許多組織為了向後相容性而執行接受 NTLMv1 的混合環境。

2026 年 10 月的強制執行期限 為延後遷移的組織帶來營運風險。Microsoft 制定了三階段時程：

1. 第 1 階段（2024 年 12 月）： 啟動淘汰
2. 第 2 階段（2025 年 9 月）： 預設啟用稽核模式
3. 第 3 階段（2026 年 10 月）： 在無需管理員介入的情況下，自動將 BlockNtlmv1SSO 登錄機碼轉換為強制模式

尚未開始規劃遷移的組織，在強制執行開始時將面臨重大的驗證中斷風險。

如何遷移離開 NTLM

企業 NTLM 遷移需要在高階主管支持下，以結構化的分階段方式執行。完整實作通常需時 18-22 個月，取決於環境複雜度與舊版應用程式相依性。

第 1 階段：探索與稽核（第 1-3 個月）

在嘗試任何遷移或封鎖原則之前，先在所有網域控制站與成員伺服器上啟用完整的 NTLM 稽核。設定 Network security: Restrict NTLM: Audit NTLM authentication in this domain 為「Audit all」而非封鎖。Windows 11 24H2 與 Windows Server 2025 提供增強的稽核事件，可擷取處理程序名稱、原因代碼、使用者名稱與網域資訊，以及 NTLM 版本。至少收集 30-90 天的稽核記錄，以涵蓋週期性服務、排程工作與每月程序。分析記錄以建立依系統類型、應用程式與修復複雜度分類的完整相依性清單。

第 2 階段：修復規劃（第 4-6 個月）

依修復方法與複雜度對 NTLM 相依性進行分類。加入工作群組的系統可能需要加入網域、註冊 Azure AD，或在持續例外情況下搭配網路分段。舊版應用程式需要與供應商協調 Kerberos 支援時程；若供應商無法提供移轉路徑，則需規劃應用程式汰換。受限於韌體限制的網路裝置需要安排升級時程、採購替換設備，或採取隔離 NTLM 流量的網路分段策略。

第 3 階段：Kerberos 試點部署（第 7-9 個月）

選擇舊版相依性最少的低風險組織單位，作為初始僅 Kerberos 強制執行的範圍。僅在試點範圍內，將 Network security: Restrict NTLM: NTLM authentication in this domain 設定為「Deny all」。密切監控驗證失敗與應用程式問題，並記錄所有修復程序，作為正式環境推行的參考。驗證試點系統在不使用 NTLM 驗證的情況下仍可維持完整功能。

第 4 階段：正式環境推行（第 10-18 個月）

根據試點經驗，依組織單位系統化擴大 Kerberos 強制執行。優先處理包含敏感資料與特權存取系統的高安全性環境。針對舊版相依性維護已記錄的例外清單，並搭配補償控制，包括網路分段、增強監控與限制存取範圍。對需要持續 NTLM 存取的系統實施網路分段，以限制橫向移動暴露面。

第 5 階段：強制執行（第 19-22 個月）

在 Microsoft 於 2026 年 10 月自動強制執行的期限之前啟用 BlockNtlmv1SSO。透過徹底檢閱稽核記錄來驗證已完成完整遷移，確認正式環境範圍內的 NTLM 驗證為零。基於合規與稽核目的，記錄剩餘例外情況，並附上正式風險接受與補償控制。

在規劃遷移的同時，組織也必須處理立即性的防禦缺口。許多資安團隊因保護措施不完整或設定錯誤，而在無意間讓其環境暴露於風險之中。

常見的 NTLM 防禦錯誤

未能實施分層 NTLM 防禦會造成可被利用的安全缺口。

1. 啟用 SMB 簽署但未強制要求。 您設定了 Group Policy，在檔案伺服器上啟用「Microsoft network server: Digitally sign communications」設定，卻忽略了對應的用戶端端需求。組態稽核顯示伺服器端符合規範，但滲透測試人員證明 NTLM relay 攻擊仍可成功，因為「enable」允許在用戶端未要求簽署時降級為未簽署連線。兩項設定必須同時設為「Enabled」：伺服器端（Microsoft network server: Digitally sign communications (always)）以及用戶端端（Microsoft network client: Digitally sign communications (always)）。根據 Microsoft SMB 安全性指引，僅設定伺服器會造成可被利用的缺口，讓攻擊者可透過設定錯誤的用戶端進行轉送。
2. 假設 Credential Guard 能阻止 NTLM 轉送攻擊。 您將 Credential Guard 部署到高價值的管理工作站與網域控制站，接著向高階主管呈現 Credential Guard 的涵蓋範圍，並宣稱其可完整防護 NTLM 攻擊。攻擊者透過對網域控制站上未受保護的 LDAP 服務發動 NTLM relay 而入侵您的環境。Credential Guard 使用以虛擬化為基礎的安全性來保護 LSASS 記憶體中靜態儲存的認證資料，防止從遭入侵的系統竊取認證資料，但對於網路層級的 NTLM relay 攻擊則完全沒有防護作用。組織必須同時實作端點認證資料保護與網路層級的 relay 防護。
3. 在關鍵服務上不一致地實作 EPA。 你的資安團隊在 2021 年 PetitPotam 事件後，已在 Active Directory Certificate Services 上啟用 Extended Protection for Authentication，但攻擊者仍將 NTLM 驗證轉送到未啟用 EPA 的 LDAP 服務。EPA 必須在所有支援 NTLM 的服務上進行設定，包括 AD CS、LDAP、Exchange Server，以及任何使用 Windows 整合式驗證的自訂應用程式。

避免這些錯誤需要以系統化方式處理 NTLM 防禦，同時涵蓋所有攻擊向量。

NTLM 防禦最佳實務

透過分層控制阻止以認證為基礎的橫向移動，並在網路、端點與身分層處理通訊協定弱點。

• 立即實作完整的 NTLM 稽核記錄。 在嘗試任何遷移或封鎖原則之前，先在所有網域控制站與成員伺服器上啟用 NTLM 稽核原則。將 Network security: Restrict NTLM: Audit NTLM authentication in this domain 設定為「Audit all」而非封鎖。至少收集 30-90 天的稽核記錄，以涵蓋週期性服務與排程工作，然後分析記錄以建立完整的相依性清單。
• 在整個環境中全面強制執行 SMB 簽署。 在 Computer Configuration > Policies > Windows Settings > Security Settings > Local Policies > Security Options 設定雙重群組原則需求。將 Microsoft network server: Digitally sign communications (always) 與 Microsoft network client: Digitally sign communications (always) 都設為 Enabled。此雙重設定可阻止用戶端與伺服器使用不同簽署設定時發生的降級攻擊。
• 在所有關鍵服務上設定 Extended Protection for Authentication。EPA 會為 NTLM 驗證加入通道繫結，透過將驗證繫結至 TLS 工作階段來防止認證轉送。EPA 實作的優先順序應聚焦於 Active Directory Certificate Services、所有網域控制站上的 LDAP，以及 Exchange Server。Windows Server 2025 預設會為這些服務啟用 EPA。
• 將 Credential Guard 部署到高價值系統。 在網域控制站、管理工作站以及處理敏感資料的系統上實作 Credential Guard。Credential Guard 需要 TPM 2.0、UEFI Secure Boot、處理器虛擬化延伸功能，以及 Hyper-V 支援。
• 在所有網域控制站上要求 LDAP 簽署。 設定 網域控制站：LDAP 伺服器簽署需求 設為「Require signing」，並透過套用至 Domain Controllers 組織單位的群組原則進行設定。Windows Server 2025 預設新增 LDAP 通道繫結。
• 實作用於識別 Pass-the-Hash 的事件關聯。 設定您的 SIEM，以關聯多個網域控制站與成員伺服器之間的 Windows 安全性事件 ID。針對特權帳戶，若事件 ID 4624（成功登入）搭配登入類型 3（網路登入）與驗證套件「NTLM」，且在先前 10 小時內來自相同來源 IP 並無對應的事件 ID 4624 登入類型 2（互動式登入），則發出警示。

這些手動控制提供必要的防護，但以認證為基礎的攻擊往往比人工調查週期更快。行為式 AI 可即時識別並阻止 Pass-the-Hash 活動。

使用 SentinelOne 阻止 NTLM 攻擊

您的回應延遲決定了您是能阻止橫向移動，還是只能調查入侵後果。 SentinelOne 透過可辨識歸類為 MITRE ATT&CK T1550.002 的 Pass-the-Hash 技術之行為式 AI，找出以認證為基礎的攻擊。

Singularity™ Identity 也提供跨混合環境的端到端可視性，以偵測曝險並阻止憑證濫用。它可降低身分風險並提供即時身分保護。您可以關聯端點與身分活動，以進行情境驅動的偵測和更快速的分級處理。它也能消除孤立環境中的盲點，並可強化 Active Directory 和雲端身分提供者，包括 Okta、Ping、SecureAuth、Duo 和 Entra ID。它可從攻擊嘗試中蒐集洞察，以阻止重複入侵，並防止權限提升.

SentinelOne 連續五年獲 Gartner Magic Quadrant 評選為 Endpoint Protection Platforms 領導者。在 MITRE ATT&CK 評估中，SentinelOne 僅產生 12 則警示，而一家領先競爭對手產生了 178,000 則，警示數量減少了 88%。這種雜訊降低可將數千個安全事件整合為單一可採取行動的事件，將憑證濫用調查從檢視數千個驗證事件，轉變為在數秒內分析完整的鑑識脈絡。

Singularity Platform 透過單一代理程式與主控台提供整合式 XDR 功能，將端點、雲端與身分安全整合至單一資料湖中。專利 Storyline 技術會自動監控、追蹤並為整個企業環境中的事件資料提供脈絡，以即時重建攻擊。

Purple AI 透過自然語言查詢加速威脅調查，並關聯整個環境中的驗證事件。根據早期採用者回報，威脅獵捕速度最高可提升 80%，安全分析師無需了解查詢語言即可搜尋日誌，並取得完整的攻擊脈絡與建議的後續步驟。

申請示範，了解 SentinelOne 的行為式 AI 如何在權限提升發生前阻止以認證為基礎的攻擊。

Singularity™ Identity

Detect and respond to attacks in real-time with holistic solutions for Active Directory and Entra ID.

Get a Demo

重點整理

NTLM 攻擊利用認證竊取，在傳統回應措施能阻止之前實現橫向移動。2026 年 10 月的強制執行期限要求立即規劃遷移：Microsoft 將自動把 BlockNtlmv1SSO 登錄機碼從稽核模式變更為強制模式，以強制封鎖 NTLMv1，無需管理員介入。

有效防禦需要互補的分層控制：伺服器與用戶端雙方皆啟用 SMB 簽署、在包括 AD CS、LDAP 與 Exchange Server 在內的關鍵服務上啟用 Extended Protection for Authentication、使用 Credential Guard 保護端點認證（請注意，它可保護靜態認證，但無法阻止網路中繼攻擊），以及完整的稽核記錄，以便在強制執行前識別相依性。

行為式 AI 會關聯端點與身分基礎架構中的驗證模式，在權限提升發生前找出認證濫用。