NTLM
type: Concept
definition: パスワードの一方向ハッシュを使ったチャレンジ/レスポンス方式の認証プロトコル群(LANMAN・NTLMv1・NTLMv2を含む)。相互認証を持たず、サーバーが本物であると仮定できる環境向けに設計されている。
alternative label: NTLM認証
alternative label: Windows Challenge/Response
alternative label: NTLM Security Support Provider
configured by: 「NTLMを制限する」ポリシー群
may cause: Pass-the-Hash

NTLM/Operationalログ
type: Concept
definition: NTLM監査の記録先ログ。ドメインコントローラーのイベント8004、メンバーサーバーの8003、クライアントの8001などが記録され、対応するセキュリティ監査イベントポリシーは存在しない。
alternative label: Microsoft-Windows-NTLM/Operational
verified by: Get-WinEvent
verified by: Process Monitor(procmon.exe)
should precede: SMBクライアント側のNTLMブロック

「NTLMを制限する」ポリシー群
type: Concept
definition: 送信NTLMトラフィック・受信NTLMトラフィック・ドメイン内NTLM認証を、監査から拒否まで段階的に制御できるセキュリティポリシー群。
alternative label: Restrict NTLM
alternative label: ネットワークセキュリティ: NTLMを制限する
configured by: グループポリシー
verified by: NTLM/Operationalログ

グループポリシー
type: Concept
definition: Active Directoryドメイン環境でWindowsの設定を集中構成する仕組み。
alternative label: GPO
alternative label: Group Policy

Get-WinEvent
type: Concept
definition: イベントログをフィルターして取得するPowerShellコマンドレット。FilterHashtableでの絞り込みに対応し、NTLM監査ログなど大量のイベントの集計に使う。

Process Monitor(procmon.exe)
type: Concept
definition: ファイルI/O・レジストリ・プロセス/スレッド活動をリアルタイムに監視できるSysinternalsのツール。Advanced Outputを有効にすると、IRPやファストI/Oのカーネル側の語彙で操作を表示する。
alternative label: Procmon
alternative label: Process Monitor

ドメインアカウント
type: Concept
definition: Active Directoryドメインに属し、ドメインコントローラーで認証されるアカウント。NTLMでの認証はドメインコントローラーへのパススルー認証を伴う。
requires: ドメインコントローラー

ドメインコントローラー
type: Concept
definition: Active Directoryのディレクトリサービスを提供し、KDCの機能やNTLMのパススルー認証の相手を担うサーバー。
alternative label: DC

ローカルアカウント
type: Concept
definition: MicrosoftアカウントやEntra IDに紐づかない、PC内で完結するアカウント。
requires: NTLM

ワークグループ構成
type: Concept
definition: Active Directoryドメインに参加しない、Kerberosの土俵にないWindowsのネットワーク構成。この構成のシステムのWindows認証には依然としてNTLMが使われ、使われなければならない。
alternative label: Workgroup
incompatible with: Kerberos

Kerberos
type: Concept
definition: チケットによる一度だけの本人確認と相互認証を提供する認証プロトコル。Windows ServerはKerberos version 5と、公開鍵認証・認可データの転送・委任のための拡張を実装する。
alternative label: Kerberos version 5
alternative label: Kerberos認証
requires: SPN

TryIPSPN
type: Concept
definition: SPNのホスト名としてIPアドレスを使えるようにするクライアント側のレジストリ設定(TryIPSPN)。DNS名に変更できない場合の最後の手段として、IPアドレスのSPNを手動登録する。
alternative label: Kerberos over IP

SPN
type: Concept
definition: KDCが接続先のサービスアカウントを特定するために使う名前。登録されていなければ、KDCはそのサービスのサービスチケットを発行できない。
alternative label: サービスプリンシパル名
alternative label: Service Principal Name

SMBクライアント側のNTLMブロック
type: Concept
definition: SMBクライアントがリモートへの送信接続でNTLM認証をブロックする、Windows Server 2025/Windows 11 バージョン24H2以降の機能。接続先のSMBサーバーがKerberosまたはPKU2Uを使えることが前提。
alternative label: Block NTLM on SMB
requires: Kerberos
requires: Windows 11 バージョン24H2 / Windows Server 2025
verified by: NET USE /BLOCKNTLM
configured by: グループポリシー
mitigates: NTLM

Windows 11 バージョン24H2 / Windows Server 2025
type: Concept
definition: NTLMv1の削除、SMB署名の既定必須化、SMBクライアント側のNTLMブロック追加など、複数のセキュリティ既定値が変わった2024年後半以降のWindowsリリース世代。
alternative label: 24H2
alternative label: Windows Server 2025

NET USE /BLOCKNTLM
type: Concept
definition: グループポリシーを変えずに、1つのSMB接続だけをNTLMなしで試せる確認コマンド。繋がればその経路はNTLM不要で成立している。
alternative label: New-SmbMapping -BlockNTLM

NTLMv1
type: Concept
definition: NTLMプロトコル群の第1版。Windows 11 バージョン24H2およびWindows Server 2025で削除された。
alternative label: NTLM バージョン1
broader: NTLM
incompatible with: Windows 11 バージョン24H2 / Windows Server 2025
verified by: セキュリティログの「パッケージ名 (NTLM のみ)」

セキュリティログの「パッケージ名 (NTLM のみ)」
type: Concept
definition: ログオンイベントの「詳細な認証情報」に含まれる、NTLMのどのサブバージョン(V1/V2)が使われたかを示すセキュリティログのフィールド。
alternative label: 認証パッケージ
alternative label: 詳細な認証情報

Negotiate
type: Concept
definition: KerberosとNTLMのどちらかを選択するセキュリティパッケージ。認証に関わるシステムのいずれかがKerberosを使えない場合を除き、Kerberosを選択する。
alternative label: Negotiateセキュリティパッケージ
alternative label: SPNEGO
succeeds: 認証タイプへのNTLM名指し
uses: Kerberos
uses: NTLM

認証タイプへのNTLM名指し
type: Concept
definition: CredentialCache.Addなどで認証タイプ文字列に"NTLM"を直接指定する実装。マイクロソフトはこれをNegotiateへ置き換えるべきとしている。
alternative label: CredentialCache.Add("NTLM")

IAKerb
type: Concept
definition: ドメインコントローラーへの到達性の問題を解くためのプロキシ対応Kerberos拡張。NTLM廃止フェーズ2(2026年後半予定)で提供される機能。

ローカルKDC
type: Concept
definition: ローカルアカウント認証にもKerberosを使えるようにする機能。NTLM廃止フェーズ2(2026年後半予定)で提供される機能で、対応するWindows同士でのみ効く。
alternative label: Local KDC

NTLMリレー攻撃
type: Concept
definition: 攻撃者が被害者とサーバーの間でNTLMのチャレンジ/レスポンスをそのまま中継し、被害者になりすます攻撃。応答が宛先を縛らないNTLMの弱点を突く。
alternative label: NTLM Relay Attack
alternative label: SMBリレー攻撃

SMB署名
type: Concept
definition: SMBの全メッセージにセッション鍵由来の署名(メッセージ全体のハッシュと送信者・受信者の識別情報を含む)を付け、改ざんとリレー攻撃を検知する仕組み。Windows 11 24H2/Windows Server 2025で既定値が強化された。
alternative label: SMB Signing
mitigates: NTLMリレー攻撃

Pass-the-Hash
type: Concept
definition: 盗んだパスワードのハッシュ(NTハッシュ)を使って、平文パスワードを知らないままNTLM認証を通過する攻撃。
alternative label: Pass-the-Hash攻撃

subject: NTLM
predicate: configuredBy
object: 「NTLMを制限する」ポリシー群
description: 「このドメインでのNTLM認証を監査する」「受信NTLMトラフィックを監査する」「送信NTLMトラフィック=すべて監査する」の3つを有効にして利用状況を可視化してから制限へ進む
evidence: network-security-restrict-ntlm-outgoing-ntlm-traffic-to-remote-servers
verified at: 2026-08-01
certainty: established

subject: 「NTLMを制限する」ポリシー群
predicate: configuredBy
object: グループポリシー
description: 3つの監査・制限ポリシーはローカルセキュリティポリシーまたはグループポリシーで配布し、保存時点で(再起動なしに)有効になる
evidence: network-security-restrict-ntlm-outgoing-ntlm-traffic-to-remote-servers
verified at: 2026-08-01
certainty: established

subject: 「NTLMを制限する」ポリシー群
predicate: verifiedBy
object: NTLM/Operationalログ
description: 監査・拒否イベントは対応するセキュリティ監査イベントポリシーを持たず、Microsoft-Windows-NTLM/Operationalログに記録される
evidence: network-security-restrict-ntlm-outgoing-ntlm-traffic-to-remote-servers
verified at: 2026-08-01
certainty: established

subject: NTLM/Operationalログ
predicate: verifiedBy
object: Get-WinEvent
description: 大量のイベントはGet-WinEventのFilterHashtableで「接続先×呼び出し元プロセス」単位に集計する
evidence: get-winevent
verified at: 2026-08-01
certainty: established

subject: NTLM/Operationalログ
predicate: verifiedBy
object: Process Monitor(procmon.exe)
description: SMB経由の通信はPIDが常に4(SYSTEM)になるため、相手サーバーのコンピューター名とIPアドレスでパスをフィルターしたProcess Monitorと、サーバー側イベント8003のタイムスタンプを突き合わせて呼び出し元プロセスを特定する
evidence: https://learn.microsoft.com/previous-versions/windows/it-pro/windows-server-2008-R2-and-2008/jj865682(v=ws.10)
verified at: 2026-08-01
certainty: established

subject: ドメインアカウント
predicate: requires
object: ドメインコントローラー
description: ドメインアカウントでのNTLM認証はドメインコントローラーへの問い合わせを伴い、その痕跡がイベント8004として記録される
evidence: https://learn.microsoft.com/previous-versions/windows/it-pro/windows-server-2008-R2-and-2008/jj865682(v=ws.10)
verified at: 2026-08-01
certainty: established

subject: ドメインアカウント
predicate: verifiedBy
object: NTLM/Operationalログ
description: NTLM経由で認証された場合、ドメインアカウントの認証は、DCのイベント8004(セキュアチャネル名)→メンバーサーバーの8003(PID)→クライアントの8001(ターゲットサーバー・クライアントプロセス名)の順にたどって原因アプリを特定できる。Kerberosで認証された場合はこのログに現れない
evidence: https://learn.microsoft.com/previous-versions/windows/it-pro/windows-server-2008-R2-and-2008/jj865682(v=ws.10)
verified at: 2026-08-01
certainty: context-dependent

subject: ローカルアカウント
predicate: requires
object: NTLM
description: ローカルアカウントでの共有アクセスなど、ドメインコントローラー以外でのローカルログオン認証には依然としてNTLMが使われ使われなければならず、この経路はドメインコントローラーのイベント8004には現れない
evidence: ntlm-overview
verified at: 2026-08-01
certainty: established

subject: ワークグループ構成
predicate: incompatibleWith
object: Kerberos
description: ワークグループ構成の端末はActive Directoryの外にありKDCが存在しないため、Kerberosは成立しない
evidence: ntlm-overview
verified at: 2026-08-01
certainty: established

subject: TryIPSPN
predicate: requires
object: SPN
description: TryIPSPNを1にしたクライアントで、要求されるサービスクラスごとにIPアドレスのSPNをSetspnで手動登録する必要がある。DNS名に変更できない場合の最後の手段
evidence: configuring-kerberos-over-ip
verified at: 2026-08-01
certainty: context-dependent

subject: SMBクライアント側のNTLMブロック
predicate: requires
object: Kerberos
description: SMBクライアント側のNTLMブロックの前提条件は、接続先のSMBサーバーがKerberos(またはPKU2U)を使えること
evidence: smb-ntlm-blocking
verified at: 2026-08-01
certainty: established

subject: SMBクライアント側のNTLMブロック
predicate: requires
object: Windows 11 バージョン24H2 / Windows Server 2025
description: SMBクライアント側のNTLMブロックは、Windows Server 2025以降またはWindows 11 バージョン24H2以降のSMBクライアントが前提
evidence: smb-ntlm-blocking
verified at: 2026-08-01
certainty: established

subject: SMBクライアント側のNTLMブロック
predicate: verifiedBy
object: NET USE /BLOCKNTLM
description: ポリシーを一切変えずに、1接続だけをNET USE ... /BLOCKNTLMで試すことで、その経路がNTLMなしで成立するかを実地確認できる
evidence: smb-ntlm-blocking
verified at: 2026-08-01
certainty: established

subject: SMBクライアント側のNTLMブロック
predicate: configuredBy
object: グループポリシー
description: パイロット後の全体展開は、グループポリシーの「NTLM をブロックする (LM、NTLM、NTLMv2)」またはSet-SmbClientConfiguration -BlockNTLMで行う
evidence: smb-ntlm-blocking
verified at: 2026-08-01
certainty: established

subject: SMBクライアント側のNTLMブロック
predicate: mitigates
object: NTLM
description: NTLMを完全に無効化しなくても、SMBクライアント側のこの保護層だけを先に有効化して依存を段階的に減らせる
evidence: smb-ntlm-blocking
verified at: 2026-08-01
certainty: established

subject: NTLMv1
predicate: incompatibleWith
object: Windows 11 バージョン24H2 / Windows Server 2025
description: NTLMv1はWindows 11 バージョン24H2およびWindows Server 2025で削除されており、これらのバージョンでは使えない
evidence: deprecated-features
verified at: 2026-08-01
certainty: established

subject: NTLMv1
predicate: verifiedBy
object: セキュリティログの「パッケージ名 (NTLM のみ)」
description: セキュリティログのログオンイベントにある「詳細な認証情報」の「パッケージ名 (NTLM のみ)」を見ると、そのホストがNTLM V1かV2かを判別できる
evidence: https://learn.microsoft.com/previous-versions/windows/it-pro/windows-server-2008-R2-and-2008/jj865682(v=ws.10)
verified at: 2026-08-01
certainty: established

subject: Negotiate
predicate: succeeds
object: 認証タイプへのNTLM名指し
description: 非推奨化の告知は、NTLMの呼び出しをNegotiateの呼び出しに置き換えるべきだとしている。アプリはNTLMセキュリティパッケージへ直接アクセスすべきではない
evidence: deprecated-features
verified at: 2026-08-01
certainty: established

subject: IAKerb
predicate: mitigates
object: NTLM
description: フェーズ2(2026年後半予定)のIAKerbは、ドメインコントローラーへ到達できない経路が原因のNTLM依存を減らすことを狙う
evidence: retireNTLM
verified at: 2026-08-01
certainty: context-dependent

subject: ローカルKDC
predicate: mitigates
object: NTLM
description: フェーズ2(2026年後半予定)のローカルKDCは、ローカルアカウント認証でのNTLM依存を減らすことを狙うが、対応するWindows同士でしか効かない
evidence: retireNTLM
verified at: 2026-08-01
certainty: context-dependent

subject: Kerberos
predicate: requires
object: SPN
description: Kerberosはクライアントが提示するSPNからサービスアカウントを特定してチケットを発行するため、SPNの誤りは監査で見つかる典型的なNTLMフォールバック原因になる
evidence: https://learn.microsoft.com/previous-versions/windows/it-pro/windows-server-2008-R2-and-2008/jj865682(v=ws.10)
verified at: 2026-08-01
certainty: established

subject: NTLM
predicate: mayCause
object: NTLMリレー攻撃
description: 監査で見つかるNTLM依存箇所は、そのままSMBリレー・中間者攻撃・総当たり攻撃に対する脆弱性でもある
evidence: network-security-restrict-ntlm-outgoing-ntlm-traffic-to-remote-servers
verified at: 2026-08-01
certainty: context-dependent

subject: SMB署名
predicate: mitigates
object: NTLMリレー攻撃
description: SMB署名が有効な相手にはリレー攻撃が成立しないため、SMBを宛先とするリレー経路は塞がる。ただし捕捉したNTLM認証をLDAPやHTTPなど別プロトコルへ中継する経路までは防げない
evidence: smb-signing-overview
verified at: 2026-08-01
certainty: established

subject: NTLM
predicate: requires
object: ドメインコントローラー
description: ドメインアカウントでのNTLM認証では、リソースサーバーは新しいアクセストークンが必要になるたびにドメインコントローラーへ問い合わせる
evidence: ntlm-overview
verified at: 2026-08-01
certainty: context-dependent

subject: NTLM/Operationalログ
predicate: shouldPrecede
object: SMBクライアント側のNTLMブロック
description: NTLM/Operationalログでの監査結果を裏取りしてから、SMBクライアント側のNTLMブロックをパイロット展開するのが定石
evidence: network-security-restrict-ntlm-outgoing-ntlm-traffic-to-remote-servers
verified at: 2026-08-01
certainty: established

subject: TryIPSPN
predicate: mitigates
object: NTLM
description: クライアント側でTryIPSPNを設定しIPアドレスのSPNを登録すれば、DNS名に変更できない相手でもKerberosを成立させNTLMへの依存を避けられる。ただしDNS名への変更ができない場合の最後の手段
evidence: configuring-kerberos-over-ip
verified at: 2026-08-01
certainty: context-dependent

subject: Negotiate
predicate: uses
object: Kerberos
description: 自作アプリを含め、NegotiateはKerberosとNTLMのどちらかを選択し、認証に関わるシステムのいずれかがKerberosを使えない場合を除きKerberosを選ぶ
evidence: microsoft-ntlm
verified at: 2026-08-01
certainty: established

subject: Negotiate
predicate: uses
object: NTLM
description: Kerberosが使えない場合にだけ、NegotiateはNTLMへフォールバックする
evidence: microsoft-ntlm
verified at: 2026-08-01
certainty: established

subject: NTLM
predicate: mayCause
object: Pass-the-Hash
description: 監査で見つかるNTLM依存箇所の資格情報はパスワードのハッシュそのものであり、盗まれればPass-the-Hashが成立する
evidence: microsoft-ntlm
verified at: 2026-08-01
certainty: established