Windows 11 バージョン 24H2 および Windows Server 2025 での NTLM 監査の機能強化の概要

ID

説明

0

不明な理由。

1

NTLM は、呼び出し元のアプリケーションによって直接呼び出されました。

2

ローカル アカウントの認証。

3

RESERVED。現在使用されていません。

4

クラウド アカウントの認証。

5

ターゲット名が見つからないか、空でした。

6

ターゲット名を Kerberos またはその他のプロトコルで解決できませんでした。

7

ターゲット名には IP アドレスが含まれています。

8

ターゲット名が Active Directory で重複していることが検出されました。

9

ドメイン コントローラーを使用して見通し線を確立することはできません。

10

NTLM はループバック インターフェイスを介して呼び出されました。

11

NTLM が null セッションで呼び出されました。

イベント ログ

Microsoft-Windows-NTLM/Operational

イベント ID

4020 (情報)、4021 (警告)

イベント ソース

NTLM

イベント テキスト

このマシンは NTLM を介してリモート リソースに対して認証を試行しました。

プロセス情報:

     プロセス名: <名>

     プロセス PID: <PID>

クライアント情報:

     ユーザー名: ユーザー名> <

     ドメイン: ドメイン名> <

     ホスト名: ホスト名> <

     Sign-On タイプ: <単一 Sign-On/提供されたCreds>

ターゲット情報:

     ターゲット コンピューター: マシン名 <>

     ターゲット ドメイン: マシン ドメイン> <

     ターゲット リソース: <サービス プリンシパル名 (SPN)>

     ターゲット IP: <IP アドレス>

     ターゲット ネットワーク名: <ネットワーク名>

NTLM 使用法:

     理由 ID: <使用状況 ID>

     理由: <使用理由>

NTLM セキュリティ:

     ネゴシエートされたフラグ: <フラグ>

     NTLM バージョン: <NTLMv2/NTLMv1>

     セッション キーの状態: 現在の </不足している>

     チャネル バインド: < サポートされている/サポートされていない>

     サービス バインド: <サービス プリンシパル名 (SPN)>

     MIC 状態: 保護 < 保護されていない>

     AvFlags: <NTLM フラグ>

     AvFlags 文字列: NTLM フラグ文字列> <

詳細については、「aka.ms/ntlmlogandblock」を参照してください。

イベント ログ

Microsoft-Windows-NTLM/Operational

イベント ID

4022 (情報)、4023 (警告)

イベント ソース

NTLM

イベント テキスト

リモート クライアントは NTLM を使用してこのワークステーションに対する認証を行います。

プロセス情報:

     プロセス名: <名>

     プロセス PID: <PID>

リモート クライアント情報:

     ユーザー名: クライアントユーザー名> <

     ドメイン: クライアント ドメイン> <

     クライアント コンピューター: <クライアント コンピューター名>

     クライアント IP: <クライアント IP>

     クライアント ネットワーク名: クライアント ネットワーク名 <>

NTLM セキュリティ:

     ネゴシエートされたフラグ: <フラグ>

     NTLM バージョン: <NTLMv2/NTLMv1>

     セッション キーの状態: 現在の </不足している>

     チャネル バインド: < サポートされている/サポートされていない>

     サービス バインド: <サービス プリンシパル名 (SPN)>

     MIC 状態: 保護 < 保護されていない>

     AvFlags: <NTLM フラグ>

     AvFlags 文字列: NTLM フラグ文字列> <

状態: 状態コード> <

Status Message: <Status String>

詳細については、「aka.ms/ntlmlogandblock」を参照してください。

イベント ログ

Microsoft-Windows-NTLM/Operational

イベント ID

4032 (情報)、4033 (警告)

イベント ソース

Security-Netlogon

イベント テキスト

DC <DC 名>、このドメインから送信された転送された NTLM 認証要求を処理しました。

クライアント情報:

     クライアント名: ユーザー名 <>

     クライアント ドメイン: <ドメイン>

     クライアント コンピューター: クライアント ワークステーション> <

サーバー情報:

     サーバー名: サーバー コンピューター名> <

     サーバー ドメイン: <サーバー ドメイン>

     サーバー IP: <サーバー IP>

     サーバー OS: <サーバー オペレーティング システムの>

NTLM セキュリティ:

     ネゴシエートされたフラグ: <フラグ>

     NTLM バージョン: <NTLMv2/NTLMv1>

     セッション キーの状態: 現在の </不足している>

     チャネル バインド: < サポートされている/サポートされていない>

     サービス バインド: <サービス プリンシパル名 (SPN)>

     MIC 状態: 保護 < 保護されていない>

     AvFlags: <NTLM フラグ>

     AvFlags 文字列: NTLM フラグ文字列> <

状態: 状態コード> <

Status Message: <Status String>

詳細については、「aka.ms/ntlmlogandblock」を参照してください。

イベント ログ

Microsoft-Windows-NTLM/Operational

イベント ID

4030 (情報)、4031 (警告)

イベント ソース

Security-Netlogon

イベント テキスト

DC <DC 名>、このドメインから送信された転送された NTLM 認証要求を処理しました。

クライアント情報:

     クライアント名: ユーザー名 <>

     クライアント ドメイン: <ドメイン>

     クライアント コンピューター: クライアント ワークステーション> <

サーバー情報:

     サーバー名: サーバー コンピューター名> <

     サーバー ドメイン: <サーバー ドメイン>

転送元:

     セキュリティで保護されたチャネルの種類: <Netlogon Secure Channel Info>

     Farside Name: <クロスドメイン DC マシン名 >

     Farside Domain: <クロスドメイン ドメイン名>

     Farside IP: <クロスドメイン DC IP>

NTLM セキュリティ:

     ネゴシエートされたフラグ: <フラグ>

     NTLM バージョン: <NTLMv2/NTLMv1>

     セッション キーの状態: 現在の </不足している>

     チャネル バインド: < サポートされている/サポートされていない>

     サービス バインド: <サービス プリンシパル名 (SPN)>

     MIC 状態: 保護 < 保護されていない>

     AvFlags: <NTLM フラグ>

     AvFlags 文字列: NTLM フラグ文字列> <

状態: 状態コード> <

詳細については、「aka.ms/ntlmlogandblock」を参照してください。