Windows認証の未来：NTLM廃止が意味するものと、今すぐ取るべき対策

Windows環境における長年の認証プロトコルであったNTLM（NT LAN Manager）は、そのセキュリティ上の脆弱性から、Microsoftによって段階的に廃止される方針が示されています。本記事では、2025年5月15日現在のNTLM認証廃止に関する最新動向と、組織が取るべき具体的な対策について詳細に解説します。

ハイライト

NTLMの段階的廃止: Microsoftはセキュリティリスクの高いNTLMプロトコル（特にNTLMv1）をWindows 11 24H2やWindows Server 2025以降のバージョンで削除・非推奨とし、将来的には完全廃止を目指しています。
Kerberosへの移行推奨: NTLMの代替として、より強力な暗号化とセキュリティ機能を提供するKerberos認証への移行が強く推奨されています。
レガシーシステムへの影響と対策: NTLMに依存する古いアプリケーションやシステムは影響を受ける可能性があるため、早期の監査と移行計画の策定が不可欠です。

NTLM認証廃止の背景と最新動向

NTLMは1990年代初頭に開発された認証プロトコルで、長らくWindowsネットワーク環境の標準として利用されてきました。しかし、その設計の古さから、現代の高度化するサイバー攻撃に対して多くの脆弱性を抱えています。これを受け、MicrosoftはNTLMの利用を段階的に縮小し、より安全な認証メカニズムへの移行を推進しています。

Microsoftの公式方針とタイムライン

Microsoftは2023年10月にNTLMのすべてのバージョンを非推奨とする計画を発表し、2024年6月にはNTLMを公式に非推奨機能リストに追加しました。これは、NTLMの新規開発が停止され、将来のWindowsバージョンでの完全な削除に向けた動きが本格化したことを意味します。

NTLMv1の削除とNTLMv2の非推奨

具体的には、Windows 11 バージョン24H2およびWindows Server 2025以降では、NTLMv1が既に削除されています。より一般的に使用されているNTLMv2についても、アクティブな機能開発は終了し非推奨とされており、将来的には廃止される予定です。これらのバージョンでもNTLMv2は当面利用可能ですが、MicrosoftはKerberosへの移行を強く推奨しています。

最近の脆弱性とその影響

NTLMの脆弱性は継続的に発見されており、攻撃者に悪用されるリスクが高い状態にあります。例えば、2025年3月のPatch Tuesdayで修正されたNTLMハッシュ漏洩の脆弱性（CVE-2025-24054）は、公表後わずか数日で実際の攻撃に悪用されたことが確認されています。この脆弱性は、ファイル名やパスの外部制御によりNTLMハッシュが漏洩する可能性があり、システムの乗っ取りにつながる深刻なものです。このような事態は、NTLMの使用を継続することのリスクを明確に示しています。

NTLM認証プロセスの一般的な流れを示す図

NTLM廃止の影響と課題

NTLMの廃止はセキュリティ向上に不可欠ですが、多くの組織にとっていくつかの課題をもたらします。

レガシーアプリケーションへの影響: 長年NTLMに依存してきた社内アプリケーションやサードパーティ製システムは、NTLMが無効化されると認証エラーやサービス停止といった問題が発生する可能性があります。これらのシステムを特定し、改修または代替策を検討する必要があります。
Kerberosへの移行の複雑性: KerberosはNTLMよりも堅牢な認証プロトコルですが、設定や運用には専門的な知識が求められる場合があります。特に大規模な環境や複雑なドメイン構成を持つ組織では、移行計画を慎重に策定し、段階的に進める必要があります。
相互運用性の問題: Windows以外のオペレーティングシステムや古いネットワーク機器がNTLM認証を依然として必要とする場合があります。このような環境では、全体の認証フローを見直し、Kerberosとの共存や代替手段を検討する必要があります。

NTLM廃止への具体的な対策

NTLM廃止に伴うリスクを最小限に抑え、セキュリティを強化するためには、計画的かつ段階的なアプローチが必要です。

ステップ1: NTLMの使用状況の調査と監査

まず、自社環境内でNTLMがどこで、どの程度使用されているかを正確に把握することが重要です。Active Directoryのイベントログやセキュリティ監査ログを分析し、NTLM認証を行っているクライアント、サーバー、アプリケーションを特定します。

監査ツールの活用

MicrosoftはNTLMの使用状況を監視するためのツールやガイドラインを提供しています。例えば、イベントビューアで特定のイベントID（例：NTLM認証に関連するログ）をフィルタリングしたり、グループポリシーを設定してNTLMトラフィックを監査モードで記録したりすることができます。「保護されたユーザー (Protected Users)」グループを活用し、特権アカウントによるNTLMの使用を制限することも有効な手段です。

ステップ2: Kerberosへの移行計画と実施

NTLMの最も有力な代替手段はKerberos認証です。Kerberosは、強力な暗号化、相互認証、チケットベースの認証システムを提供し、NTLMよりもはるかに安全です。

Negotiateプロトコルの利用

アプリケーションやサービスが認証プロトコルを選択する際には、「Negotiate」セキュリティパッケージの使用を推奨します。Negotiateは、まずKerberosでの認証を試み、それが利用できない場合にNTLMなどの他のプロトコルにフォールバックする仕組みです。アプリケーションのコード内でNTLMがハードコーディングされている場合は、Negotiateを使用するように修正する必要があります。

IAKerbとローカルKDCの活用

Windows 11 24H2以降では、IAKerb (Initial and Pass Through Authentication Using Kerberos) やローカルKDC (Key Distribution Center) といった新しいメカニズムが導入されています。これらは、ドメインコントローラーへの直接的なアクセスが困難な環境でもKerberos認証を促進し、NTLMへのフォールバックを減らすことを目的としています。

ステップ3: セキュリティ制御の強化

Kerberosへの移行と並行して、全体的なセキュリティ体制を強化することも重要です。

多要素認証 (MFA) の導入: NTLMはMFAをネイティブにサポートしていませんが、Kerberosと組み合わせることでMFAを実現できます。これは、認証セキュリティを大幅に向上させる効果的な手段です。
ネットワークセグメンテーション: ネットワークを論理的に分割し、万が一侵害が発生した場合でも被害範囲を限定します。特にNTLMが依然として必要なレガシーシステムは、隔離されたセグメントに配置することを検討します。
特権アクセス管理 (PAM): 特権アカウントの管理を強化し、これらのアカウントでのNTLM使用を厳しく制限します。
迅速なパッチ適用: NTLM関連だけでなく、全てのシステムコンポーネントに対してセキュリティパッチを迅速に適用し、既知の脆弱性を修正します。
EPA (Extended Protection for Authentication) の有効化: NTLMリレー攻撃などの中間者攻撃を防ぐために、EPAをサポートするアプリケーションで有効化します。

ステップ4: Windows Server 2025でのNTLMブロック

Windows Server 2025では、SMBクライアント設定を通じてNTLMの使用をブロックするオプションが提供される予定です。これにより、組織はより積極的にNTLMを無効化し、Kerberosへの移行を強制することができます。ただし、この設定を有効にする前に、全ての依存関係が解決されていることを十分にテストする必要があります。

NTLM vs. Kerberos: セキュリティ特性比較

NTLMとKerberosは、Windows環境における代表的な認証プロトコルですが、そのセキュリティ特性には大きな違いがあります。以下のレーダーチャートは、両プロトコルの主要なセキュリティ側面を視覚的に比較したものです。一般的に、KerberosはNTLMよりも多くの項目で優れており、現代のセキュリティ要件に適しています。

このチャートは、NTLMがリレー攻撃やパスザハッシュ攻撃に対して脆弱であること、MFAサポートが欠如していることなどを示しています。一方、Kerberosはこれらの点で優れており、より強力な暗号化と最新技術への対応が可能です。「管理の容易性」については、Kerberosの初期設定はNTLMより複雑な場合がありますが、一度設定されれば堅牢な運用が期待できます。

NTLMとKerberosの主な違い

以下の表は、NTLM認証とKerberos認証の主な特徴と違いをまとめたものです。これにより、なぜMicrosoftがKerberosへの移行を推奨しているのかがより明確になります。

特徴	NTLM	Kerberos
開発時期	1990年代初頭	1980年代後半 (Windows 2000以降で標準)
認証方式	チャレンジ/レスポンス	チケットベース (KDCを利用)
セキュリティ強度	比較的低い (特にNTLMv1)	高い
主な脆弱性	パスザハッシュ攻撃、リレー攻撃、弱い暗号化	設定不備やチケット関連の攻撃が存在するが、プロトコル自体は堅牢
相互認証	なし (クライアントのみサーバーを認証)	あり (クライアントとサーバーが相互に認証)
多要素認証(MFA)サポート	ネイティブサポートなし	対応可能 (拡張により)
暗号化アルゴリズム	古いアルゴリズム (MD4, DESなど) を含む	強力な最新アルゴリズム (AESなど) をサポート
フォワーダブル/プロキシ認証	限定的	対応 (委任機能)
Microsoftの推奨	非推奨、段階的に廃止	強く推奨

NTLM廃止へのロードマップ：マインドマップ

NTLM認証の廃止は、セキュリティ戦略における重要な転換点です。以下のマインドマップは、NTLM廃止の背景、影響、そして推奨される対策への道筋を視覚的に整理したものです。組織がこの移行をスムーズに進めるための主要な考慮事項を網羅しています。

mindmap root["NTLM認証の廃止"] id1["理由"] id1a["セキュリティ脆弱性"] id1a1["パスザハッシュ攻撃"] id1a2["リレー攻撃"] id1a3["弱い暗号化"] id1b["MFA非対応"] id1c["Microsoftの方針
(段階的廃止)"] id2["影響を受ける主なWindowsバージョン"] id2a["Windows 11 24H2"] id2b["Windows Server 2025"] id2c["将来のWindowsリリース"] id3["推奨される対策"] id3a["Kerberosへの移行"] id3a1["Negotiateプロトコルの利用"] id3a2["IAKerb / ローカルKDCの活用"] id3b["NTLM利用状況の監査と特定"] id3c["レガシーアプリケーションの
互換性確認と改修"] id3d["セキュリティパッチの
迅速な適用"] id3e["追加のセキュリティ制御強化
(MFA, EPA, ネットワークセグメンテーション)"] id4["代替認証プロトコル"] id4a["Kerberos (最優先)"] id4b["その他最新の認証技術
(SAML, OAuth 2.0 など、
適用可能な場合)"] id5["直面する課題"] id5a["レガシーシステムとの互換性"] id5b["移行作業の複雑さ"] id5c["サードパーティ製品への依存"]

このマインドマップは、NTLM廃止という課題に対して、その動機から具体的な行動計画、そして最終的なゴールであるセキュアな認証環境の確立までを俯瞰するのに役立ちます。