ネットワークセキュリティ「LAN Manager認証レベル」の設定方法とNTLMv2の基本を徹底解説

ネットワークセキュリティ「LAN Manager認証レベル」とは

Windows環境において、ネットワークログオン時の認証方式を制御する重要な設定が「ネットワークセキュリティ：LAN Manager認証レベル」です。本記事では、この設定の開き方・確認方法・リセット手順に加え、LM／NTLM／NTLMv2という3つの認証プロトコルの違いや、NTLMを無効化すべきかどうかといった実務的な疑問まで、わかりやすく解説します。

ネットワークセキュリティ：LAN Manager認証レベルを開くには？

まず、スタートメニューから「すべてのプログラム」→「アクセサリ」→「ファイル名を指定して実行」を開き、「secpol.msc」と入力してOKをクリックします。ローカルセキュリティポリシーが起動したら、左側のツリーから「ローカルポリシー」→「セキュリティオプション」→「ネットワークセキュリティ：LAN Manager認証レベル」へ移動します。
ここで認証レベルを変更できます。セキュリティを重視する場合は、「NTLMv2応答のみ送信する」を選択するのが推奨されます。互換性が必要な場合に限り、「LMとNTLMを送信する」など緩いオプションを検討してください。

ネットワークセキュリティのLAN認証レベルとは？

LAN Manager認証レベルとは、Windowsがユーザーの身元を検証する際に使用する認証プロトコルの種類を決定する設定です。LAN Manager系の認証プロトコルには「LM」「NTLM」「NTLMv2」の3種類があります。このうちNTLMv2はリプレイ攻撃への耐性を持つため、3つの中で最も安全なプロトコルとされています。

NTLMv2を無効化すべきか？

NTLMv2はより強力な暗号化アルゴリズムを採用しており、代表的なNTLM攻撃を防止できます。Windows 7／Windows Server 2008 R2以降では、LMおよびNTLMv1はデフォルトで無効になっています。企業のWindowsドメイン環境では、NTLM認証全体を無効化し、より安全なKerberos認証へ移行する構成が推奨されます。

NTLM認証を有効にするには？

一部のアプリケーションやサーバー製品では、管理インターフェースの「ドメインとユーザーログイン」の項目から設定できます。「認証オプション」タブにある「常に認証を要求する」にチェックを入れることで、NTLMによる自動認証が有効になります。

NTLMv2は何に使われるのか？

NTLMv2はLAN Manager認証プロトコルの一部として、Windows OSを実行するクライアントが次のような操作を行う際に使用されます。

• ドメインへの参加
• ローカルエリアネットワーク（LAN）へのログオン
• Active Directoryフォレスト間の相互認証

LM互換性レベルとは？

Windowsコンピューターが使用できる認証プロトコルには、LAN Manager（通称Lanman）、NTLMv1、NTLMv2の3種類があります。LM互換性レベルの設定により、どのレベルの認証を許可するかを制御します。LMは最も古く安全性の低い方式です。NTLMv1はLMを置き換える形で大幅に改善されましたが、NTLMv2ほどのセキュリティ強度はありません。

ネットワークセキュリティ：LAN Manager認証レベルはどこにある？

グループポリシー（GPO）で設定する場合は、次のパスをたどります。
「コンピューターの構成」→「ポリシー」→「Windowsの設定」→「セキュリティの設定」→「ローカルポリシー」→「セキュリティオプション」
この中から「ネットワークセキュリティ：LAN Manager認証レベル」を探してダブルクリックし、希望のレベルを選択してください。

ネットワークセキュリティ：LAN Manager認証レベルをリセットするには？

設定を既定値に戻したい場合は、レジストリ修正ファイルを使う方法が簡単です。配布されている「Network_Security_Reset.zip」をダウンロードして展開し、含まれる「Network_Security_Reset.reg」をダブルクリックして実行します。その後パソコンを再起動すると、変更が反映され既定の認証レベルに戻ります。
※レジストリを操作する前に、必ずバックアップやシステムの復元ポイントを作成しておきましょう。出所不明の.regファイルは実行しないでください。

NTLM設定とは？

「ネットワークセキュリティ：LAN Manager認証レベル」の設定は、ネットワークログオン時にどの認証プロトコルを使用するかを制御します。NTLMv2セッションセキュリティをサポートするサーバーは、クライアントデバイスとの間でNTLMv2認証を使用できます。また、ドメインコントローラーはLM、NTLM、NTLMv2の各認証方式をサポートしています。

NTLMを無効化しても安全か？

TLSやSSLなど、より安全なプロトコルが利用できる環境、あるいはKerberos（バージョン5）が使用できる環境であれば、NTLM認証トラフィックをすべて無効化することが推奨されます。これにより、認証関連の攻撃リスクを大幅に減らせます。

NTLMを無効化すると何が起こる？

NTLMを無効化する最大のリスクは、NTLMに依存しているレガシーアプリケーションや、正しく構成されていないアプリケーションが動作しなくなることです。こうしたアプリケーションをKerberosへ対応させるには、特別な更新作業や再構成が必要になる場合があります。無効化の前には、社内システムへの影響範囲を必ず調査しましょう。

NTLMは有効のままにすべきか？

NTLMが有効な環境では、パスワードハッシュがLSAサービスのメモリ内に保存されます。このハッシュは複数のツールによって抽出可能であり、攻撃者に悪用されるとネットワーク上のリソースへ不正アクセスされる恐れがあります。そのため、Windowsドメイン環境ではNTLM認証を無効化する構成が推奨されます。

NTLMv2を無効化することはできる？

はい、グループポリシーの設定を通じてNTLMv2を無効化できます。ただし、無効化によって認証不能なクライアントが出ないように、NTLMv2の動作原理以及安全な無効化步骤を充分理解してから操作することが重要です。

NTLM認証が有効かどうかを確認的方法？

ドメインコントローラー上でNTLM審計機能を活用すれば、NTLMv1を使用しているアプリケーションを検出できます。具体的には、「ログオン成功の監査」を有効にした後、成功監査イベント「4624」を確認します。このイベントにはNTLMのバージョン情報が含まれており、どの認証方式が使われているかを特定できます。

Active DirectoryにおけるNTLM認証とは？

NTLM（Windows NT LAN Manager）は、Active Directoryドメイン内でクライアントを認証するためのチャレンジ・レスポンス型認証プロトコルです。ドメインコントローラーやサービスがクライアントからの応答を正しいものとして確認できれば、そのクライアントは対象サービスへのアクセスを許可されます。

NTLMはデフォルトで有効になっている？

Windows 7／Windows Server 2008 R2以降のOSでは、LMおよびNTLMv1はデフォルトで無効化されており、NTLMv2が標準的に使用されます。一方、セキュリティをさらに高めるためには、Windowsドメイン全体でNTLM認証を無効化し、Kerberos認証へ統一する構成が推奨されています。