Windows 10でネットワークセキュリティのLAN Manager認証レベルを「未定義」に設定する方法

LAN Manager認証レベルを変更するには？

画面下部にある「ローカルコンピュータポリシー → コンピュータの構成 → Windowsの設定 → セキュリティの設定 → ローカルポリシー → セキュリティオプション」を開きます。LAN Managerのネットワークセキュリティポリシーは「ネットワークセキュリティ：LAN Manager認証レベル」という項目です。該当ポリシーを右クリックしてプロパティを開きましょう。「LMとNTLMを拒否する」を選択すると、NTLMv2のみを応答として送信するようになります。

LAN Manager認証レベルを「未定義」に変更するには？

「コンピュータの構成 → Windowsの設定 → セキュリティの設定 → ローカルポリシー → セキュリティオプション → ネットワークセキュリティ：LAN Manager認証レベル」の設定値を「NTLMv2応答のみ送信する」に設定してください。LMとNTLMは拒否する必要があります。

LAN Manager認証を無効にするには？

「ネットワークセキュリティ：LAN Manager認証レベル」ポリシーは、グループポリシーの「コンピュータの構成 → ポリシー → Windowsの設定 → セキュリティの設定 → ローカルポリシー → セキュリティオプション」にあります。また、レジストリにもNTLMv1を無効化するための設定が存在します。

LM互換性レベルとは？

Windowsで使用できる認証プロトコルは主に3つあります。LAN Manager（LanmanやLMと呼ばれることもあります）は、セキュリティ面で最も低いレベルのプロトコルです。NTLMv1はLMより安全な選択肢ですが、それでもNTLMv2ほどのセキュリティは確保できません。

LAN Manager認証レベルとは？

「LAN Manager認証レベル」の設定が有効になっている場合、Windowsはユーザー認証にどの認証プロトコルを受け入れるかを決定します。LAN ManagerにはLMやNTLMに加えてNTLMv2が実装されています。NTLMv2はリプレイ攻撃を防ぐことができるため、最も安全なプロトコルとされています。

NTLMv2は無効にすべき？

NTLMv2では、より安全な暗号化アルゴリズムが採用されており、過去に多発したNTLM攻撃を防止できます。Windows 7およびWindows Server 2008 R2以降では、NTLMv1プロトコルとLMプロトコルはデフォルトで無効になっています。Windowsドメイン内でNTLM認証が行われるのを防ぎたい場合は、この設定を無効化すべきです。

NTLM設定とは？

「ネットワークセキュリティ：LAN Manager認証レベル」の設定は、ネットワークログオン時の認証レベルを決定します。サーバーがNTLMv2をサポートしている場合、マシンはNTLMv2で認証し、セッションのセキュリティ保護も行います。認証サービスプロバイダーは、LM、NTLM、NTLMv2の各プロトコルをサポートできます。

NTLM認証は無効にすべき？

Windows OSのセキュリティを高めるため（データを不正アクセスから保護する対策として）、Netwrixサービスをインストールする予定のホストでは、NTLM認証トラフィックを無効にすることが強く推奨されます。

NTLMを無効にした場合の影響は？

NTLM監査ポリシーを有効にしている場合、わずかな違いに気づくかもしれません。つまり、NTLM認証の成功・失敗にかかわらず、イベントビューアーのセキュリティログに監査イベントが記録されなくなります。

LM互換性レベルを変更するには？

regeditを起動し、「HKEY_LOCAL_MACHINE\System\CurrentControlSet\Control\LSA」に移動します。右側のウィンドウペインに「LMCompatibilityLevel」が表示されない場合は、「編集 → 新規 → DWORD (32ビット) 値」を選択してREG_DWORDを作成します。「新しい値 #1」を「LMCompatibilityLevel」に変更してください。その後、作成した「LMCompatibilityLevel」をダブルクリックして値を編集します。