Windows 10 Homeでネットワークセキュリティ(LM・NTLMv1)認証レベルを設定する方法

Windows 10 Homeにおけるネットワークセキュリティ認証レベルの設定ガイド

Windows環境では、LAN Manager(LM)、NTLMv1、NTLMv2といった複数の認証プロトコルが使用されます。中でも古いプロトコルは脆弱性が高いため、適切な認証レベルを設定することがセキュリティ対策の基本となります。本記事では、Windows 10 HomeでLM互換レベルやLAN Manager認証レベルを確認・変更する方法を詳しく解説します。

LM互換レベルを変更するには?

まず「regedit」(レジストリエディター)を起動します。次に、HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Lsa のキーへ移動します。右側のウィンドウに「LmCompatibilityLevel」という値が存在しない場合は、「編集 > 新規 > DWORD(32ビット)値」を選択して新しく作成してください。値の名前は「New Value #1」から「LmCompatibilityLevel」に変更します。作成後、その値をダブルクリックして数値データを編集することで、互換レベルを変更できます。

ネットワークセキュリティ:LAN Manager認証レベルはどこにある?

「ネットワーク セキュリティ: LAN Manager 認証レベル」ポリシーは、グループポリシーエディター内の以下のパスで確認できます。

コンピューターの構成 → ポリシー → Windowsの設定 → セキュリティの設定 → ローカルポリシー → セキュリティオプション

なお、Windows 10 Homeにはグループポリシーエディター(gpedit.msc)が標準搭載されていないため、レジストリを直接編集する方法が一般的です。

LM互換レベルとは何か?

Windowsでは主に以下の3つの認証プロトコルが利用可能です。

• LAN Manager(LM / Lanman):最も古いプロトコルで、セキュリティ強度は最低レベルです。
• NTLMv1:LMよりは安全ですが、NTLMv2ほど堅牢ではありません。
• NTLMv2:チャレンジ・レスポンス方式を強化しており、現在推奨されるプロトコルです。

LmCompatibilityLevelの値(0〜5)を変更することで、どのプロトコルを許可または拒否するかを制御できます。

NTLMv1が有効になっているか確認する方法

ドメインコントローラーで「ログオン成功の監査」を有効にし、イベントID 4624(成功監査)を調査することで、NTLMv1を使用しているアプリケーションや接続を特定できます。イベントの詳細情報にNTLMに関するパッケージ名(NTLM V1など)が記録されているかどうかを確認しましょう。

ネットワークセキュリティ:LAN Manager認証レベルをリセットする方法

認証レベルの設定に問題が発生した場合は、以下の手順で修正します。

1. 「ネットワーク セキュリティ: LAN Manager 認証レベル」の修正用ファイル(.reg)を入手して展開します。
2. 展開したファイルをダブルクリックして実行し、レジストリに反映させます。

変更を有効にするには、パソコンを再起動してください。

ネットワークセキュリティ:LAN Manager認証レベルを無効化する方法

無効化の手順は基本的に上記と同じです。「コンピューターの構成 → ポリシー → Windowsの設定 → セキュリティの設定 → ローカルポリシー → セキュリティオプション」から該当ポリシーを開き、「LMとNTLMを拒否する(NTLMv2のみ許可)」を選択します。Windows 10 Homeの場合は、レジストリの「LmCompatibilityLevel」の値を編集することで同等の設定が可能です。

LAN Manager認証レベルとは?

このポリシーを設定すると、Windowsがユーザー認証時に受け入れる認証プロトコルを決定できます。LAN ManagerにはLM、NTLM、そしてNTLMv2が含まれます。特にNTLMv2はリプレイ攻撃への耐性を持つため、現時点で最も安全な選択肢とされています。

自分がNTLMを使用しているか確認する方法

Kerberos環境では、イベントログで認証方式を判別できます。資格情報を渡しているにもかかわらず、Kerberos関連のアクティビティがログに表示されない場合、その通信にはNTLMが使用されている可能性があります。

NTLMv1を有効化(または制限)する方法

ローカルセキュリティポリシーで以下のパスに移動します。

ローカルコンピューターポリシー → コンピューターの構成 → Windowsの設定 → セキュリティの設定 → ローカルポリシー → セキュリティオプション

「ネットワーク セキュリティ: LAN Manager 認証レベル」を右クリックしてプロパティを開きます。ここで「LMとNTLMを拒否する(NTLMv2のみネゴシエート)」を選択すれば、応答としてNTLMv2のみが送信されるようになります。

NTLMを無効化するとどうなる?

NTLMを無効化すると、従来型の認証プロトコルに依存しているレガシーアプリケーションや、誤って構成されたアプリケーションが認証できなくなるリスクがあります。Kerberosへ移行する場合は、それらのアプリケーションを事前に適切な方法で構成しておく必要があります。

まとめ

Windows 10 Homeではグループポリシーエディターが使えないため、レジストリの「LmCompatibilityLevel」を編集するのが確実な方法です。LMやNTLMv1といった旧式プロトコルを拒否し、NTLMv2のみを許可することで、認証関連のセキュリティを大幅に向上させることができます。設定変更後は必ず再起動を行い、業務アプリケーションへの影響がないか十分にテストしてください。