Windows 7でネットワークセキュリティ「LAN Manager認証レベル」を変更する方法

ネットワークセキュリティ：LAN Manager認証レベルの変更手順

セキュリティオプションを設定するには、まず「ローカルコンピューターポリシー」→「コンピューターの構成」→「Windowsの設定」→「セキュリティの設定」→「ローカルポリシー」→「セキュリティオプション」の順に開きます。次に、「ネットワーク セキュリティ: LAN Manager 認証レベル」というポリシーを探してください。ポリシーを右クリックして「プロパティ」を選択すると、詳細設定画面が表示されます。ここでは主に次の2つの選択肢があります。

• 「NTLMv2応答のみ送信する」を選択する
• 「LMとNTLMを拒否する（NTLMv2のみ許可）」を選択する

LAN Manager認証レベルとは何か？

LAN Manager認証レベルとは、Windowsがユーザーの身元を確認する際に、どの種類の認証プロトコルを使用するかを決定する設定です。LAN Managerには「LM」「NTLM」「NTLMv2」という3つの異なる認証プロトコルが存在します。この中でNTLMv2はリプレイ攻撃（再生攻撃）を防ぐ仕組みを持っているため、最も安全性の高いプロトコルとされています。

Windows 7はNTLMv2を使用しているのか？

はい。Windows 7およびWindows Vistaは、既定でNTLMv2を使用します。そのため、特別な設定を行わなくても比較的安全な認証方式が採用されています。

LM互換性レベルとは？

Windowsコンピューターで利用できる認証プロトコルは以下の3種類です。

• LAN Manager（LM）：通称Lanmanとも呼ばれる旧式のプロトコルで、最もセキュリティレベルが低くなります。
• NTLMv1：LMの後継として登場し、大幅なセキュリティ向上を実現しましたが、依然として十分とは言えません。
• NTLMv2：現時点で最も安全な認証レベルを提供します。

ネットワークセキュリティ：LAN Manager認証レベルを無効化する方法

グループポリシー（GPO）で無効化する場合は、「コンピューターの構成」→「ポリシー」→「Windowsの設定」→「セキュリティの設定」→「ローカルポリシー」→「セキュリティオプション」から「ネットワーク セキュリティ: LAN Manager 認証レベル」を探します。また、レジストリを編集することでもNTLMv1を無効化できます。

NTLMv2は無効化すべきか？

NTLMv2はより強力な暗号化アルゴリズムを採用しており、一般的なNTLM攻撃を防止できます。なお、Windows 7／Windows Server 2008 R2以降では、LM認証プロトコルおよびNTLMバージョン1は既定で無効になっています。ドメイン環境では、NTLM認証自体を無効化するようWindowsドメインを構成することが推奨されています。

ネットワークセキュリティ：LAN Manager認証レベルの場所

グループポリシー（GPO）内では、「コンピューターの構成」→「ポリシー」→「Windowsの設定」→「セキュリティの設定」→「ローカルポリシー」→「セキュリティオプション」の中に「ネットワーク セキュリティ: LAN Manager 認証レベル」があります。

ネットワークセキュリティ：LAN Manager認証レベルをリセットする方法

1. 修正ツールを入手します。「Network_Security_Reset.zip」をダウンロードして解凍します。
2. 解凍したフォルダー内の「Network_Security_Reset.reg」ファイルをダブルクリックして実行します。これにより、LAN Manager認証レベルの設定違反が修正されます。
3. パソコンを再起動します。再起動後に変更内容が反映されていることを確認してください。

Windows 2000はNTLMv2に対応しているのか？

実はWindows NT 4の時点でNTLMv2はサポートされており、Service Pack 4（SP4）以降の更新で正式対応しました。Windows 2000では標準でNTLMv2をネイティブサポートしています。また、Windows 98でも「Active Directoryクライアント拡張機能」をインストールすることでNTLMv2を利用可能になります。

NTLMv2の用途は？

NTLMv2はLAN Manager認証プロトコルの一部として、Windows OSを実行するクライアントに対して以下のような操作を可能にします。

• ドメインへの参加
• ローカルエリアネットワーク（LAN）へのログオン
• Active Directoryフォレスト間での相互認証

LM互換性レベルを変更する方法

レジストリエディター（regedit.exe）を起動し、次のキーへ移動します。
HKEY_LOCAL_MACHINE\System\CurrentControlSet\Control\LSA

レジストリ操作の際は、誤って他の値を壊さないよう十分注意してください。右ペインに「LMCompatibilityLevel」が存在しない場合は、「編集」→「新規」→「DWORD（32ビット）値」を選択して新しく作成します。作成した値に互換性レベルの数値を設定してください。既に「LMCompatibilityLevel」が存在する場合は、右ペインでダブルクリックして値を編集できます。