NTLMv1 への変更を管理し、Windows 11 および Windows Server 2025 でネットワークの問題を防ぐ

適用先
Windows 11 version 26H2, all editions Windows 11 version 25H2, all editions Windows 11 version 24H2, all editions Windows Server 2025

注

  • 元の発行日: 2025 年 8 月 29 日
  • KB ID: 5066470

概要

この記事では、Windows 11 バージョン 26H2、25H2、24H2、Windows Server 2025 の変更点について詳しく説明し、NTLMv1 派生の暗号化のブロックの監査と適用に焦点を当てています。 これらの変更は、NTLM を段階的に廃止するという Microsoft の広範なイニシアチブの一環です。

2026 年 10 月の Windows セキュリティ更新プログラムでは、 BlockNtlmv1SSO レジストリ値が設定されていない場合の内部の既定の動作を変更することで、NTLMv1 のセキュリティを強化する変更が導入されています。 この変更により、Windows は監査モード (0) の代わりに強制モード (1) を使用します。 この変更は、 Credential Guard が無効になっていて、 BlockNtlmv1SSO レジストリ値が設定されていないデバイスにのみ適用され、MS-CHAPv2 ベースの認証を使用する Wi-Fi、イーサネット、VPN 接続に影響を与える可能性があります。

背景

Microsoft は、Windows 11 バージョン 24H2 および Windows Server 2025 以降のバージョンから NTLMv1 プロトコルを削除しました (「削除された機能」を参照)。 ただし、NTLMv1 プロトコルが削除されても、ドメインに参加している環境で PEAP-MSCHAPv2 や EAP-MSCHAPv2 を含む MS-CHAPv2 ベースの接続を使用する場合など、一部のシナリオでは NTLMv1 暗号化の名残が残っています。

2025 年 8 月にリリースされた Windows 更新プログラム以降、管理者が適用する前に NTLMv1 派生の資格情報への依存関係を特定できるように、監査モードが導入されました。

Credential Guard は、NTLMv1 レガシ暗号化とその他多くの攻撃対象領域の両方を完全に保護するため、Microsoft では、Credential Guard の要件が満たされている場合に Credential Guard を展開して有効にすることを強くお勧めします。 この記事で説明する変更は、Credential Guard が無効になっているデバイスにのみ影響します。デバイスで Windows Credential Guard が有効になっている場合、これらの変更は有効になりません。

目標

NTLM の廃止 (「 非推奨の機能」を参照) と NTLMv1 プロトコルの削除に伴い、Microsoft は NTLMv1 派生の資格情報の使用をブロックすることで NTLMv1 の無効化を完了できるように取り組んでいます。

変更

2026 年 10 月の Windows セキュリティ更新プログラムをインストールする前の動作: 2026 年 10 月 13 日にリリースされた 2026 年 10 月の Windows セキュリティ更新プログラムをインストールする前に、 BlockNtlmv1SSO レジストリ値が設定されていない場合、Windows は 監査モード (0) を使用します。 NTLMv1 派生の資格情報を単一 Sign-On に使用する要求は監査されますが、許可され、警告イベントが生成されます。

2026 年 10 月の Windows セキュリティ更新プログラムをインストールした後の動作:2026 年 10 月 13 日にリリースされた 2026 年 10 月の Windows セキュリティ更新プログラムをインストールした後、BlockNtlmv1SSO レジストリ値が設定されていない場合。Windows は監査モード (0) の代わりに強制モード (1) を使用します。 更新プログラムによって、レジストリ値が作成または変更されることはありません。 強制モードでは、NTLMv1 派生の資格情報を単一 Sign-On に使用する要求はブロックされます。

これらの変更のタイムラインについては、「変更のロールアウト」セクションを参照してください。

新しいレジストリ キー

2025 年 8 月にリリースされた Windows 更新プログラムでは、変更を監査モードと強制モードのどちらで動作するかを制御する新しいレジストリ キー BlockNtlmv1SSO が導入されました。

メモ: 管理者は、2026 年 10 月の Windows セキュリティ更新プログラムをインストールする前またはインストール後に BlockNtlmv1SSO を構成できます。

レジストリの場所 HKEY_LOCAL_MACHINE\SYSTEM\currentcontrolset\control\lsa\msv1_0
値 BlockNtlmv1SSO
型 REG_DWORD
データ
  • 0- ログオン ユーザーの NTLMv1 資格情報生成要求は監査されますが、成功が許可されます。 警告イベントが生成されます。 この設定は監査モードとも呼ばれます。
  • 1- ログオン ユーザーの NTLMv1 資格情報を生成する要求はブロックされます。 エラー イベントが生成されます。 この設定は、 強制 モードとも呼ばれます。
再起動 BlockNtlmv1SSO を変更した後、デバイスの再起動は必要ありません。

2026 年 10 月 13 日にリリースされた 2026 年 10 月 Windows セキュリティ更新プログラム以降、BlockNTLMv1SSO レジストリ値が設定されていない場合、強制モード (1) が対象デバイスで内部の既定の動作になります。

既定の動作の変更によってレジストリ値が作成または変更されるわけではなく、レジストリ値自体は存在しないことに注意してください。

新しい監査機能

  • 監査モードを使用する場合

    イベント ログ Microsoft-Windows-NTLM/Operational
    イベント タイプ 警告
    イベント ソース NTLM
    イベント ID 4024
    イベント テキスト NTLMv1 派生の資格情報を単一 Sign-On に使用する試行を監査する
    ターゲット サーバー: <domain_name>
    指定されたユーザー: <user_name>
    指定されたドメイン: <domain_name>
    クライアント プロセスの PID: <process_identifier>
    クライアント プロセスの名前: <process_name>
    クライアント プロセスの LUID: <locally_unique_identifier>
    クライアント プロセスのユーザー ID: <user_name>
    クライアント プロセスのユーザー ID のドメイン名: <domain_name>
    メカニズム OID: <object_identifier>
    詳細については、「https://go.microsoft.com/fwlink/?linkid=2321802」を参照してください。

  • 強制モードを使用する場合

    イベント ログ Microsoft-Windows-NTLM/Operational
    イベント タイプ エラー
    イベント ソース NTLM
    イベント ID 4025
    イベント テキスト NTLMv1 派生の資格情報を単一 Sign-On に使用しようとしましたが、ポリシーによりブロックされました。
    ターゲット サーバー: <domain_name>
    指定されたユーザー: <user_name>
    指定されたドメイン: <domain_name>
    クライアント プロセスの PID: <process_identifier>
    クライアント プロセスの名前: <process_name>
    クライアント プロセスの LUID: <locally_unique_identifier>
    クライアント プロセスのユーザー ID: <user_name>
    クライアント プロセスのユーザー ID のドメイン名: <domain_name>
    メカニズム OID: <object_identifier>
    詳細については、「https://go.microsoft.com/fwlink/?linkid=2321802」を参照してください。

その他の監査機能強化の詳細については、「Windows 11 バージョン 24H2 および Windows Server 2025 での NTLM 監査機能強化の概要」を参照してください。

変更のロールアウト

2025 年 9 月以降の更新プログラムで、変更は監査モードで Windows 11 バージョン 24H2 以降のバージョンにロールアウトされました。 このモードでは、NTLMv1 派生の資格情報が使用されるたびにイベント ID: 4024 がログに記録されましたが、認証は引き続き機能しました。 ロールアウトは 2025 年後半に Windows Server 2025 に達しました。

Microsoft は、2026 年 10 月 13 日にリリースされた 2026 年 10 月の Windows セキュリティ更新プログラム以降、 BlockNtlmv1SSO レジストリ値が設定されていない場合の内部の既定の動作を変更することで、NTLMv1 のセキュリティを強化します。 Windows は監査モード (0) の代わりに強制モード (1) を使用します。

強制モードでは、単一 Sign-On の NTLMv1 派生の資格情報を生成する要求は、監査だけではなくブロックされます。

この変更は、MS-CHAPv2 を使用する特定の Wi-Fi、イーサネット、VPN 認証構成など、シングル サインオンに NTLMv1 派生の資格情報に依然として依存する環境に影響を与える可能性があります。

タイムライン

日付 変更
2025 年 8 月下旬 Windows 11 バージョン 24H2 以降のクライアントで有効になっている NTLMv1 の使用状況の監査ログ。
2025 年 11 月 Windows Server 2025 への変更のロールアウトを開始します。
2026 年 10 月 2026 年 10 月の Windows セキュリティ更新プログラムでは、 BlockNtlmv1SSO レジストリ値が設定されていない場合の既定の動作が変更されます。 値が指定されていない場合、Windows では監査モード (0) の代わりに強制モード (1) が使用されます。レジストリ値は作成も変更もされません。レジストリ値は指定されません。 強制モードでは、単一 Sign-On に対する NTLMv1 派生の資格情報の使用はブロックされます。

強制モードの準備

この記事で説明する監査モード イベントを使用して、変更を広範に展開する前に NTLMv1 派生の資格情報に依存する認証フローを特定します。 Wi-Fi、イーサネット、または VPN 認証に MS-CHAPv2 シングル Sign-On を使用する環境では、潜在的な依存関係について評価する必要があります。

一時的なセキュリティ例外

すぐに移行できない重要な認証依存関係をorganizationが特定した場合は、BlockNTLMv1SSO を 0 (監査) に設定すると、修復が完了している間、NTLMv1 派生の単一 Sign-On 資格情報が一時的に許可されます。

重要:監査モードを使用すると、強制モードによって提供される保護が低下し、スコープが設定された一時的なセキュリティ例外としてのみ考慮する必要があります。

よく寄せられる質問 (FAQ)

Q1: クライアントとサーバーが変更を取得するタイミングに違いがあるのはなぜですか?

Microsoft では、リリース更新プログラムを一度に配布するのではなく、一定期間にわたって配布する段階的なロールアウト手法を使用しています。 つまり、ユーザーが受け取る更新の時刻は異なります。また、すべてのユーザーが更新プログラムをすぐに利用できない場合があります。

Q2: NTLMv1 派生の資格情報はどこで使用されますか。

NTLMv1 派生の資格情報は、単一 Sign-On の目的で特定の上位レベルのプロトコルで使用されます。たとえば、PEAP-MSCHAPv2 や EAP-MSCHAPv2 など、MS-CHAPv2 ベースの認証を使用した Wi-Fi、イーサネット、VPN の展開などがあります。 強制モードでは、NTLMv1 派生の資格情報に依存する単一 Sign-On フローがブロックされます。 資格情報を手動で入力しても、 強制モードで引き続き機能します。 詳細とベスト プラクティスについては、「 Credential Guard を使用する場合の考慮事項と既知の問題」を参照してください。

Q3: この更新プログラムと Credential Guard の間に他に類似点はありますか?

この更新プログラムと Credential Guard の唯一の類似点は、NTLMv1 派生の暗号化によるユーザー資格情報の保護です。 この更新プログラムは、Credential Guard の広範で堅牢な保護を提供しません。Microsoft では、サポートされているすべてのプラットフォームで Credential Guard を有効にすることをお勧めします。

追加のガイダンスがあれば、この記事が更新されます。

参考資料

変更ログ
日付 変更
2026 年 10 月 14 日 記事全体の編集は、2026 年 10 月に終了した最新の強制変更を反映し、MS-CHAPv2 ベースの認証を使用した Wi-Fi、イーサネット、VPN の展開への影響を強調するために行われました。