元の発行日: 2025 年 7 月 11 日
KB ID: 5064479
この記事の内容:
- 概要
- NTLM 監査の変更の目的
- NTLM 監査ログ
- グループ ポリシーの管理
- 監査レベル
- クライアント ログ
- サーバー ログ
- ドメイン コントローラーのログ
- 新規 NTLM イベントと既存の NTLM イベントの関係
- 展開方法に関する情報
- 変更ログ
概要
この記事では、Windows 11 バージョン 24H2 以降、および Windows Server 2019 以降での NT LAN Manager (NTLM) 監査に対する今後の機能強化の概要について説明します。 これらの機能強化により、NTLM 認証アクティビティの可視性が向上し、管理者は、どのユーザーが NTLM を使用しているのか、なぜ NTLM が使用されているのか、環境内でどこで NTLM が使用されているのかを識別するのに役立ちます。
拡張 NTLM 監査は、次の Windows バージョンで利用できます。
- Windows 11 バージョン 24H2 以降
- Windows Server 2025
- Windows Server 2022 年 (2026 年 10 月 13 日以降にリリースされた Windows 更新プログラム (KB5126655 など) で利用可能)
- Windows Server 2019 (2026 年 10 月 13 日以降にリリースされた Windows 更新プログラム (KB5126651 など) で利用可能)
強化された監査は、セキュリティ監視の強化をサポートし、組織が NTLM への依存を減らす準備をする際に、従来の認証依存関係を特定するのに役立ちます。
NTLM 監査の変更の目的
NTLM 認証は、多くの場合、レガシ アプリケーションと構成が原因で、さまざまなエンタープライズ シナリオで引き続き存在します。 NTLM の非推奨と将来の無効化の発表に伴い (Windows IT ブログ「Windows 認証の進化」を参照)、更新された監査機能は、管理者が NTLM の使用を特定し、使用パターンを理解し、NT LAN Manager バージョン 1 (NTLMv1) の使用を含む潜在的なセキュリティ リスクを検出するのに役立つように設計されています。
NTLM 監査ログ
Windows 11 バージョン 24H2 以降、Windows Server 2025、Windows Server 2022、Windows Server 2019 では、クライアント、サーバー、ドメイン コントローラーの強化された NTLM 監査ログ機能がサポートされています。 各コンポーネントは、NTLM 認証イベントに関する詳細情報を提供するログを生成します。 これらのログは、[アプリケーションとサービス ログ]>Microsoft>Windows>NTLM>操作 の イベント ビューアー にあります。
既存の NTLM 監査ログと比較すると、新しく強化された監査の変更により、管理者は「誰が」、「なぜ」、そして「どこ」について答えることができます。
- NTLM を使用しているユーザー (コンピューター上のアカウントとプロセスを含む)。
- Kerberos などの先進認証プロトコルではなく NTLM 認証が選択された理由。
- NTLM 認証が行われる場所 (コンピューター名とコンピューター IP の両方を含む)。
拡張 NTLM 監査では、クライアントとサーバーの NTLMv1 使用状況に関する情報と、ドメイン コントローラーによってログに記録されたドメイン全体の NTLMv1 使用状況に関する情報も提供されます。
グループ ポリシーの管理
新しい NTLM 監査機能は、更新されたグループ ポリシー設定を使用して構成できます。 管理者はこれらのポリシーを使用して、監査対象の NTLM 認証イベントを指定し、環境に応じてクライアント、サーバー、ドメイン コントローラー全体で監査動作を管理できます。
既定では、イベントは有効になっています。
クライアントとサーバーのログでは、管理 用テンプレート>システム>NTLM の "NTLM 拡張ログ" ポリシーによってイベントを制御します。
ドメイン コントローラーでのドメイン全体のログの場合、イベントは、[管理用テンプレート]>システム>Netlogon の [拡張ドメイン全体の NTLM ログをログに記録する] ポリシーによって制御されます。
監査レベル
各 NTLM 監査ログは、同じ情報を持つ 2 つの異なるイベント ID に分割されますが、イベント レベルによってのみ異なります。
- 情報: NT LAN Manager バージョン 2 (NTLMv2) 認証など、セキュリティの低下が検出されない標準の NTLM イベントを示します。
警告: NTLMv1 の使用など、NTLM セキュリティのダウングレードを示します。 これらのイベントは、セキュリティで保護されていない認証を浮き彫りにします。 次のようなインスタンスでは、イベントが "警告" としてマークされることがあります。
- クライアント、サーバー、またはドメイン コントローラーのいずれかによって検出された NTLMv1 の使用状況。
- 認証の拡張保護は、サポートされていない、または安全ではないとマークされます (詳細については、「 KB5021989: 認証の拡張保護」を参照してください)。
- メッセージ整合性チェック (MIC) などの特定の NTLM セキュリティ機能は使用されません。
クライアント ログ
新しい監査ログには、送信 NTLM 認証試行が記録されます。 これらのログには、NTLM 接続を開始するアプリケーションまたはサービスに関する詳細と、各認証要求の関連するメタデータが提供されます。
クライアント ログには、NTLM 認証が使用された理由を強調表示する [ 使用状況 ID/理由] という一意のフィールドがあります。
現在の "使用状況 ID/理由" フィールドの説明
| ID | 説明 |
|---|---|
| 0 | 理由が不明です。 |
| 1 | NTLM は、呼び出し元のアプリケーションによって直接呼び出されました。 |
| 2 | ローカル アカウントの認証。 |
| 3 | RESERVED、現在使用されていません。 |
| 4 | クラウド アカウントの認証。 |
| 5 | ターゲット名が見つからないか、空です。 |
| 6 | ターゲット名が Kerberos または他のプロトコルによって解決できませんでした。 |
| 7 | ターゲット名に IP アドレスが含まれています。 |
| 8 | ターゲット名が Active Directory で重複していることが検出されました。 |
| 9 | ドメイン コントローラーでは見通し線を確立できませんでした。 |
| 10 | NTLM はループバック インターフェイス経由で呼び出されました。 |
| 11 | NTLM が null セッションで呼び出されました。 |
クライアント ログの例
| イベント ログ | Microsoft-Windows-NTLM/Operational |
|---|---|
| イベント ID | 4020 (情報)、4021 (警告) |
| イベント ソース | NTLM |
| イベント テキスト | このコンピューターは、NTLM を介してリモート リソースへの認証を試行しました。 プロセス情報: プロセス名: <名前> プロセス PID: <PID> クライアント情報: ユーザー名: <ユーザー名> ドメイン: <ドメイン名> Hostname: <Host Name> Sign-On タイプ: <シングル Sign-On/提供されたクレド> ターゲット情報: ターゲット マシン: <マシン名> 対象ドメイン: <マシン ドメイン> ターゲット リソース: <サービス プリンシパル名 (SPN)> ターゲット IP: <IP アドレス> ターゲット ネットワーク名: <ネットワーク名> NTLM の使用状況: 理由 ID: <使用状況 ID> 理由: <使用理由> NTLM セキュリティ: ネゴシエート済みフラグ: <Flags> NTLM バージョン: <NTLMv2 / NTLMv1>; セッション キーの状態: <存在 / ありません> チャネル バインド: <サポート/サポートされていません> サービス バインディング: <サービス プリンシパル名 (SPN)> MIC ステータス: <保護 / 保護されていない> AvFlags: <NTLM フラグ> AvFlags 文字列: <NTLM フラグ文字列> 詳細については、「aka.ms/ntlmlogandblock」を参照してください。 |
サーバー ログ
新しい監査ログには、着信 NTLM 認証試行が記録されます。 これらのログは、クライアント ログと同様の NTLM 認証に関する詳細を提供し、NTLM 認証が成功したかどうかを報告します。
サーバー ログの例
| イベント ログ | Microsoft-Windows-NTLM/Operational |
|---|---|
| イベント ID | 4022 (情報)、4023 (警告) |
| イベント ソース | NTLM |
| イベント テキスト | リモート クライアントは NTLM を使用してこのワークステーションへの認証を行っています。 プロセス情報: プロセス名: <名前> プロセス PID: <PID> リモート クライアント情報: ユーザー名: <クライアント ユーザー名> ドメイン: <クライアント ドメイン> クライアント コンピューター: <クライアント コンピューター名> クライアント IP: <クライアント IP> クライアント ネットワーク名: <クライアント ネットワーク名> NTLM セキュリティ: ネゴシエート済みフラグ: <Flags> NTLM バージョン: <NTLMv2 / NTLMv1> セッション キーの状態: <存在 / ありません> チャネル バインド: <サポート/サポートされていません> サービス バインディング: <サービス プリンシパル名 (SPN)> MIC ステータス: <保護 / 保護されていない> AvFlags: <NTLM フラグ> AvFlags 文字列: <NTLM フラグ文字列> 状態: <状態コード> 状態メッセージ: <状態文字列> 詳細については、aka.ms/ntlmlogandblock を参照してください |
ドメイン コントローラーのログ
ドメイン コントローラーは、強化された NTLM 監査の恩恵を受け、ドメイン全体の NTLM 認証試行の成功と失敗の両方をキャプチャする新しいログが追加されます。 これらのログは、クロスドメイン NTLM の使用の識別をサポートし、NTLMv1 認証などの認証セキュリティがダウングレードされる可能性があることを管理者に警告します。
次のシナリオに応じて、異なるドメイン コントローラー ログが作成されます。
同一ドメイン ログ
クライアント アカウントとサーバー マシンの両方が同じドメインに属している場合、次のようなログが作成されます。
| イベント ログ | Microsoft-Windows-NTLM/Operational |
|---|---|
| イベント ID | 4032 (情報)、4033 (警告) |
| イベント ソース | Security-Netlogon |
| イベント テキスト | DC <DC 名> は、このドメインから発信された転送された NTLM 認証要求を処理しました。 クライアント情報: クライアント名: <ユーザー名> クライアント ドメイン: <ドメイン> クライアント コンピューター: <クライアント ワークステーション> サーバー情報: サーバー名: <サーバー コンピューター名> サーバー ドメイン: <サーバー ドメイン> サーバー IP: <サーバー IP> サーバー OS: <サーバー オペレーティング システム> NTLM セキュリティ: ネゴシエート済みフラグ: <Flags> NTLM バージョン: <NTLMv2 / NTLMv1> セッション キーの状態: <存在 / ありません> チャネル バインド: <サポート/サポートされていません> サービス バインディング: <サービス プリンシパル名 (SPN)> MIC ステータス: <保護 / 保護されていない> AvFlags: <NTLM フラグ> AvFlags 文字列: <NTLM フラグ文字列> 状態: <状態コード> 状態メッセージ: <状態文字列> 詳細については、aka.ms/ntlmlogandblock を参照してください |
クロスドメイン ログ
クライアント アカウントとサーバーが属しているドメインが異なる場合、ドメイン コントローラーのログは、クライアントが存在するドメイン (認証を開始する) に属しているか、サーバーが存在するドメイン (認証を受け入れる) に属しているかによって異なります。
サーバーが認証を処理しているドメイン コントローラーと同じドメインに属している場合は、"同じドメイン ログ" のようなログが作成されます。
クライアント アカウントが、認証を処理しているドメイン コントローラーと同じドメインに属している場合は、次のようなログが作成されます。
| イベント ログ | Microsoft-Windows-NTLM/Operational |
|---|---|
| イベント ID | 4030 (情報)、4031 (警告) |
| イベント ソース | Security-Netlogon |
| イベント テキスト | DC <DC 名> は、このドメインから発信された転送された NTLM 認証要求を処理しました。 クライアント情報: クライアント名: <ユーザー名> クライアント ドメイン: <ドメイン> クライアント コンピューター: <クライアント ワークステーション> サーバー情報: サーバー名: <サーバー コンピューター名> サーバー ドメイン: <サーバー ドメイン> 転送元: セキュリティで保護されたチャネルの種類: <Netlogon セキュリティで保護されたチャネル情報> 遠側名: <クロスドメイン DC コンピューター名> 遠端ドメイン: <クロスドメイン名> ファーサイド IP: <クロスドメイン DC IP> NTLM セキュリティ: ネゴシエート済みフラグ: <Flags> NTLM バージョン: <NTLMv2 / NTLMv1> セッション キーの状態: <存在 / ありません> チャネル バインド: <サポート/サポートされていません> サービス バインディング: <サービス プリンシパル名 (SPN)> MIC ステータス: <保護 / 保護されていない> AvFlags: <NTLM フラグ> AvFlags 文字列: <NTLM フラグ文字列> 状態: <状態コード> 詳細については、aka.ms/ntlmlogandblock を参照してください |
新規 NTLM イベントと既存の NTLM イベントの関係
新しい NTLM イベントは、ネットワーク セキュリティなどの既存の NTLM ログに対する機能強化です 。 このドメイン内の NTLM を監査する NTLM 認証を制限する。 拡張 NTLM 監査の変更は、現在の NTLM ログには影響しません。現在の NTLM 監査ログが有効になっている場合は、引き続きログに記録されます。
展開方法に関する情報
拡張 NTLM 監査は、Windows 11 バージョン 24H2 以降と Windows Server 2025 で使用できます。
2026 年 10 月 13 日以降、拡張 NTLM 監査は Windows Server 2022 および Windows Server 2019 でも利用できます。 これらのバージョンで拡張 NTLM 監査を使用するには、2026 年 10 月 13 日以降にリリースされた Windows 更新プログラムをインストールしてください。
適切な Windows Update を展開した後、管理者は拡張 NTLM イベントを使用して、クライアント、サーバー、ドメイン コントローラー全体の NTLM 使用状況を特定し、Kerberos や別のより安全な認証プロトコルの使用を妨げる可能性のある依存関係の調査を開始できます。
変更ログ
| 日付の変更 | 変更説明 |
|---|---|
| 2026 年 10 月 13 日 | 2026 年 10 月 13 日以降にリリースされた Windows 更新プログラム以降、Windows Server 2016 および Windows Server 2019 に適用されるこの情報を追加しました。 |