Windows の「Enhanced NTLM auditing」で残っている NTLM 依存を洗い出す

Windows Server 2019／2022 にも、NTLM を使ったアカウント・プロセス・接続先と「なぜ Kerberos ではなく NTLM になったか」まで記録する拡張監査が入った。NTLM を減らす・止める前の調査に使える。

クライアント・サーバー・ドメインコントローラーのそれぞれで記録される。接続元と接続先、認証結果、NTLM のバージョンなど。
クライアントのイベント ID 4020／4021 には、プロセス名・PID と、NTLM が選ばれた理由を示す Reason ID が入る。理由として、アプリが NTLM を直接指定した、接続先を IP アドレスで指定した、ドメインコントローラーに到達できなかった、などが区別される。
NTLMv1 の利用や認証保護の不足は警告イベントになる。

更新を入れる。Windows Server 2022 は KB5126655、2019 は KB5126651 以降。Windows 11 24H2 以降と Windows Server 2025 には先に入っている。
拡張イベントは既定で有効。制御はグループポリシーで行う。
- クライアント・サーバー向け：「NTLM Enhanced Logging」
- ドメイン全体：「Log Enhanced Domain-wide NTLM Logs」
イベントビューアーの「アプリケーションとサービスログ → Microsoft → Windows → NTLM → Operational」で確認する。SIEM に集めるなら、このチャネルを転送対象に加える。
4020／4021 を Reason ID ごとに集計し、対処を決める。
- IP アドレス指定が理由なら、ホスト名（FQDN）でアクセスするよう設定を直し、必要なら SPN を登録する。
- アプリの直接指定なら、アプリの設定変更か更新を検討する。
- NTLMv1 の警告が出る端末は最優先で直す。

既存の NTLM 監査ログを有効にしている場合、それも引き続き記録される。ログ量が増えるので保存容量を確認する。
監査で依存を潰してから、段階的に NTLM を制限する。いきなり遮断すると古いアプリが止まる。
外部への NTLM 送信を狙う攻撃もある（数分だけの配信サーバー改ざんを「誤検知」で片付けない（UNC7017・AOMEI 事例）の WebDAV 経由の例）。外向きの NTLM は監査と並行して制限する。