NTLMとKerberosの知識マップ(知識グラフ)
type: Dataset

NTLM
type: Concept
definition: パスワードの一方向ハッシュを使ったチャレンジ/レスポンス方式の認証プロトコル群(LANMAN・NTLMv1・NTLMv2を含む)。相互認証を持たず、サーバーが本物であると仮定できる環境向けに設計されている。
alternative label: NTLM認証
alternative label: Windows Challenge/Response
alternative label: NTLM Security Support Provider
may cause: Pass-the-Hash
uses: NTLMv1
uses: NTLMv2
configured by: 「NTLMを制限する」ポリシー群

Kerberos
type: Concept
definition: チケットによる一度だけの本人確認と相互認証を提供する認証プロトコル。Windows ServerはKerberos version 5と、公開鍵認証・認可データの転送・委任のための拡張を実装する。
alternative label: Kerberos version 5
alternative label: Kerberos認証
requires: SPN
requires: KDC
requires: Kerberosの時刻同期要件
requires: Active Directory(AD DS)
uses: TGT(チケット許可チケット)
uses: Kerberosサービスチケット
implements: 相互認証
implements: Kerberosの委任
prevents: NTLMリレー攻撃
succeeds: NTLM
recommended for: SMB署名

Negotiate
type: Concept
definition: KerberosとNTLMのどちらかを選択するセキュリティパッケージ。認証に関わるシステムのいずれかがKerberosを使えない場合を除き、Kerberosを選択する。
alternative label: Negotiateセキュリティパッケージ
alternative label: SPNEGO
uses: Kerberos
uses: NTLM

SPN
type: Concept
definition: KDCが接続先のサービスアカウントを特定するために使う名前。登録されていなければ、KDCはそのサービスのサービスチケットを発行できない。
alternative label: サービスプリンシパル名
alternative label: Service Principal Name

KDC
type: Concept
definition: ドメインコントローラー上で動作し、Active Directory Domain Servicesのデータベースをセキュリティアカウントデータベースとして使う、Kerberosのチケット発行サービス。
alternative label: 鍵配布センター
alternative label: Key Distribution Center
broader: Kerberos
requires: Active Directory(AD DS)

Active Directory(AD DS)
type: Concept
definition: オンプレミスのWindowsドメインを構成するディレクトリサービス。
alternative label: AD DS
alternative label: Active Directory Domain Services
alternative label: オンプレAD

TGT(チケット許可チケット)
type: Concept
definition: AS交換でKDCが発行する、krbtgtアカウントの長期鍵で暗号化されたチケット。クライアントは中身を読めず、TGS交換でサービスチケットを要求する際に提示する。
alternative label: Ticket Granting Ticket
broader: Kerberos

Kerberosサービスチケット
type: Concept
definition: TGS交換でKDCが発行する、接続先サービスの長期鍵で暗号化されたチケット。宛先サービスの長期鍵でしか復号できないため、別のサービスへ持ち込んでも使えない。
alternative label: サービスチケット
broader: Kerberos
requires: SPN

相互認証
type: Concept
definition: 接続の両端が、相手が名乗るとおりの相手であることを検証し合う仕組み。Kerberosは提供するが、NTLMは提供しない。
alternative label: Mutual Authentication

NTLMリレー攻撃
type: Concept
definition: 攻撃者が被害者とサーバーの間でNTLMのチャレンジ/レスポンスをそのまま中継し、被害者になりすます攻撃。応答が宛先を縛らないNTLMの弱点を突く。
alternative label: NTLM Relay Attack
alternative label: SMBリレー攻撃

Pass-the-Hash
type: Concept
definition: 盗んだパスワードのハッシュ(NTハッシュ)を使って、平文パスワードを知らないままNTLM認証を通過する攻撃。
alternative label: Pass-the-Hash攻撃
requires: NTハッシュ

SMB署名
type: Concept
definition: SMBの全メッセージにセッション鍵由来の署名(メッセージ全体のハッシュと送信者・受信者の識別情報を含む)を付け、改ざんとリレー攻撃を検知する仕組み。Windows 11 24H2/Windows Server 2025で既定値が強化された。
alternative label: SMB Signing
prevents: NTLMリレー攻撃

ワークグループ構成
type: Concept
definition: Active Directoryドメインに参加しない、Kerberosの土俵にないWindowsのネットワーク構成。この構成のシステムのWindows認証には依然としてNTLMが使われ、使われなければならない。
alternative label: Workgroup
incompatible with: Kerberos
requires: NTLM

ドメインコントローラー
type: Concept
definition: Active Directoryのディレクトリサービスを提供し、KDCの機能やNTLMのパススルー認証の相手を担うサーバー。
alternative label: DC
requires: SMB署名

Kerberosの時刻同期要件
type: Concept
definition: Kerberosの事前認証が要求する、クライアントとKDCの時刻差の許容範囲(既定5分)。範囲を超えると事前認証が通らず、NTLMへの切り替えではなくKerberosのエラーとして認証が失敗する。
alternative label: SkewTime

NTLMv2
type: Concept
definition: NTLMプロトコル群の第2版。応答鍵をHMAC-MD5でNTハッシュから導出し、HMACで応答(NTProofStr)を計算する。非推奨だが現在も動作する。
alternative label: NTLM バージョン2
broader: NTLM
succeeds: NTLMv1
uses: NTハッシュ
may cause: Pass-the-Hash

NTLMv1
type: Concept
definition: NTLMプロトコル群の第1版。Windows 11 バージョン24H2およびWindows Server 2025で削除された。
alternative label: NTLM バージョン1
broader: NTLM

NTハッシュ
type: Concept
definition: MD4(UNICODE(パスワード))として計算される、パスワードの一方向ハッシュ。NTLM認証の資格情報の出発点で、NTLMv2の応答鍵もここから導出される。
alternative label: NTOWF
alternative label: MD4ハッシュ

SMBクライアント側のNTLMブロック
type: Concept
definition: SMBクライアントがリモートへの送信接続でNTLM認証をブロックする、Windows Server 2025/Windows 11 バージョン24H2以降の機能。接続先のSMBサーバーがKerberosまたはPKU2Uを使えることが前提。
alternative label: Block NTLM on SMB
prevents: Pass-the-Hash

Kerberosの委任
type: Concept
definition: サービスがクライアントの代理として別のサービスへ接続する仕組み。無制約の委任・制約付き委任・リソースベースの制約付き委任(RBCD)がある。NTLMが提供するのはローカルでの偽装に必要な認可情報まで。
alternative label: Delegation
alternative label: 制約付き委任
alternative label: リソースベースの制約付き委任
broader: Kerberos

「NTLMを制限する」ポリシー群
type: Concept
definition: 送信NTLMトラフィック・受信NTLMトラフィック・ドメイン内NTLM認証を、監査から拒否まで段階的に制御できるセキュリティポリシー群。
alternative label: Restrict NTLM
alternative label: ネットワークセキュリティ: NTLMを制限する
verified by: NTLM/Operationalログ

NTLM/Operationalログ
type: Concept
definition: NTLM監査の記録先ログ。ドメインコントローラーのイベント8004、メンバーサーバーの8003、クライアントの8001などが記録され、対応するセキュリティ監査イベントポリシーは存在しない。
alternative label: Microsoft-Windows-NTLM/Operational

IAKerb
type: Concept
definition: ドメインコントローラーへの到達性の問題を解くためのプロキシ対応Kerberos拡張。NTLM廃止フェーズ2(2026年後半予定)で提供される機能。

ローカルKDC
type: Concept
definition: ローカルアカウント認証にもKerberosを使えるようにする機能。NTLM廃止フェーズ2(2026年後半予定)で提供される機能で、対応するWindows同士でのみ効く。
alternative label: Local KDC

TryIPSPN
type: Concept
definition: SPNのホスト名としてIPアドレスを使えるようにするクライアント側のレジストリ設定(TryIPSPN)。DNS名に変更できない場合の最後の手段として、IPアドレスのSPNを手動登録する。
alternative label: Kerberos over IP

subject: Negotiate
predicate: uses
object: Kerberos
description: Negotiateは、認証に関わるシステムのいずれかがKerberosを使えない場合を除き、Kerberosを選択する
evidence: microsoft-ntlm
verified at: 2026-08-01
certainty: established

subject: Negotiate
predicate: uses
object: NTLM
description: 認証に関わるシステムのいずれかがKerberosを使えない場合、NegotiateはNTLMにフォールバックする
evidence: microsoft-ntlm
verified at: 2026-08-01
certainty: established

subject: Kerberos
predicate: requires
object: SPN
description: TGS交換では接続先のSPNをKDCに提示してサービスチケットを要求するため、SPNが引けなければ成立しない
evidence: https://learn.microsoft.com/previous-versions/windows/it-pro/windows-server-2003/cc772815(v=ws.10)
verified at: 2026-08-01
certainty: established

subject: Kerberos
predicate: requires
object: KDC
description: 認証・チケット発行のすべてがKDC(鍵配布センター)とのAS/TGS/AP交換の上に成り立つ
evidence: kerberos-authentication-overview
verified at: 2026-08-01
certainty: established

subject: KDC
predicate: requires
object: Active Directory(AD DS)
description: KDCはドメインコントローラー上で動作し、Active Directory Domain Servicesのデータベースをセキュリティアカウントデータベースとして使う
evidence: kerberos-authentication-overview
verified at: 2026-08-01
certainty: established

subject: Kerberos
predicate: uses
object: TGT(チケット許可チケット)
description: AS交換で本人確認をしたクライアントに、krbtgtアカウントの長期鍵で暗号化されたTGTを発行する
evidence: https://learn.microsoft.com/previous-versions/windows/it-pro/windows-server-2003/cc772815(v=ws.10)
verified at: 2026-08-01
certainty: established

subject: Kerberos
predicate: uses
object: Kerberosサービスチケット
description: TGS交換で、接続先サービスの長期鍵で暗号化されたサービスチケットを発行する
evidence: https://learn.microsoft.com/previous-versions/windows/it-pro/windows-server-2003/cc772815(v=ws.10)
verified at: 2026-08-01
certainty: established

subject: Kerberosサービスチケット
predicate: requires
object: SPN
description: KDCはSPNに対応するサービスアカウントを探し、そのアカウントの長期鍵でチケットを暗号化するため、SPNが未登録だとチケットを発行できない
evidence: microsoft-ntlm
verified at: 2026-08-01
certainty: established

subject: Kerberos
predicate: implements
object: 相互認証
description: Kerberosでは接続の両端が相手が名乗るとおりの相手であることを検証できる。NTLMはこれを提供せず、サーバーが本物であると仮定できる環境向けに設計されている
evidence: kerberos-authentication-overview
verified at: 2026-08-01
certainty: established

subject: NTLM
predicate: mayCause
object: NTLMリレー攻撃
description: NTLMのレスポンスには「誰に対して認証しているか」を縛る仕組みがなく、クライアントは応答が本物のサーバー宛かを確かめられない
evidence: network-security-restrict-ntlm-outgoing-ntlm-traffic-to-remote-servers
verified at: 2026-08-01
certainty: context-dependent

subject: NTLM
predicate: mayCause
object: Pass-the-Hash
description: NTLMの資格情報はパスワードの一方向ハッシュそのものであり、認証に必要なのはこのハッシュであって平文パスワードではない
evidence: microsoft-ntlm
verified at: 2026-08-01
certainty: established

subject: SMB署名
predicate: prevents
object: NTLMリレー攻撃
description: SMB署名はメッセージ全体のハッシュと送信者・受信者の身元を含む署名を付けるため、署名を要求する相手にはリレーが成立しない
evidence: smb-signing-overview
verified at: 2026-08-01
certainty: established

subject: Kerberos
predicate: prevents
object: NTLMリレー攻撃
description: サービスチケットは宛先サービスの長期鍵で暗号化されているため、別のサービスへ持ち込んでも復号できず中継が成立しない
evidence: https://learn.microsoft.com/previous-versions/windows/it-pro/windows-server-2003/cc772815(v=ws.10)
verified at: 2026-08-01
certainty: established

subject: ワークグループ構成
predicate: incompatibleWith
object: Kerberos
description: ワークグループ構成やドメインコントローラー以外でのローカルログオンは、そもそもActive Directoryの外にありKDCが存在しないため、Kerberosは成立しない
evidence: ntlm-overview
verified at: 2026-08-01
certainty: established

subject: ワークグループ構成
predicate: requires
object: NTLM
description: ワークグループのメンバーとして構成されたシステムの認証と、ドメインコントローラー以外でのローカルログオン認証には、依然としてNTLMが使われ使われなければならない
evidence: ntlm-overview
verified at: 2026-08-01
certainty: established

subject: NTLM
predicate: requires
object: ドメインコントローラー
description: ドメインアカウントでの認証では、リソースサーバーは自分でハッシュを持たないため、認証のたびにドメインコントローラーへ問い合わせる(パススルー認証)が必要になる。ローカルアカウントならこの依存はない
evidence: ntlm-overview
verified at: 2026-08-01
certainty: context-dependent

subject: Kerberos
predicate: succeeds
object: NTLM
description: 更新可能なセッションチケットがNTLMの毎回のパススルー認証を置き換え、サーバーはPACの検証が必要な場合を除きドメインコントローラーへ行く必要がなくなる
evidence: kerberos-authentication-overview
verified at: 2026-08-01
certainty: established

subject: Kerberos
predicate: requires
object: Kerberosの時刻同期要件
description: 事前認証のタイムスタンプが既定5分の許容差を超えると、Kerberosはエラーとして失敗する(NTLMへの静かな切り替えとは別の現象)
evidence: kerberos-protocol-registry-kdc-configuration-keys
verified at: 2026-08-01
certainty: established

subject: NTLMv2
predicate: succeeds
object: NTLMv1
description: NTLMv2は応答鍵をHMAC-MD5でNTハッシュから導出しHMACで応答を計算する後継バージョンだが、NTLMv1・v2ともに非推奨対象に含まれる
evidence: deprecated-features
verified at: 2026-08-01
certainty: established

subject: NTLM
predicate: uses
object: NTLMv1
description: NTLMはLANMAN・NTLMv1・NTLMv2を含む認証プロトコルの一群であり、NTLMv1はその1つ
evidence: ntlm-overview
verified at: 2026-08-01
certainty: established

subject: NTLM
predicate: uses
object: NTLMv2
description: いまのWindowsが実際に使うのは、NTLMプロトコル群のうちNTLMv2
verified at: 2026-08-01
certainty: established

subject: NTLMv2
predicate: uses
object: NTハッシュ
description: 応答鍵NTOWFv2は、HMAC_MD5(MD4(UNICODE(パスワード)), 大文字化したユーザー名+ドメイン名)としてNTハッシュから導出される
verified at: 2026-08-01
certainty: established

subject: NTLMv2
predicate: mayCause
object: Pass-the-Hash
description: 計算がHMACベースで複雑になっても出発点はNTハッシュのままなので、NTLMv2に対してもPass-the-Hashは成立する
verified at: 2026-08-01
certainty: established

subject: SMBクライアント側のNTLMブロック
predicate: prevents
object: Pass-the-Hash
description: SMBクライアント側のNTLMブロックは、悪意あるサーバーへNTLM要求を送らせる手口を防ぎ、総当たり・クラッキング・Pass-the-Hash攻撃に対抗する
evidence: smb-ntlm-blocking
verified at: 2026-08-01
certainty: established

subject: Kerberos
predicate: implements
object: Kerberosの委任
description: Kerberosは、フロントエンドサービスがクライアントの代理としてバックエンドサービスへ接続する委任をサポートする
evidence: kerberos-authentication-overview
verified at: 2026-08-01
certainty: established

subject: NTLM
predicate: configuredBy
object: 「NTLMを制限する」ポリシー群
description: NTLMの利用は「ネットワークセキュリティ: NTLMを制限する」系のポリシー(監査・拒否・例外リスト)で構成する
evidence: network-security-restrict-ntlm-outgoing-ntlm-traffic-to-remote-servers
verified at: 2026-08-01
certainty: established

subject: 「NTLMを制限する」ポリシー群
predicate: verifiedBy
object: NTLM/Operationalログ
description: Restrict NTLMの監査・拒否イベントはNTLM/Operationalログ(イベント8001・8003・8004)に記録される
evidence: https://learn.microsoft.com/previous-versions/windows/it-pro/windows-server-2008-R2-and-2008/jj865682(v=ws.10)
verified at: 2026-08-01
certainty: established

subject: NTLMリレー攻撃
predicate: requires
object: NTLM
description: 中継されたやり取りが使えるセッションになるのは、宛先が署名もチャネルバインディングも要求せずNTLMを受け付ける場合に限られる
evidence: smb-signing-overview
verified at: 2026-08-01
certainty: context-dependent

subject: Pass-the-Hash
predicate: requires
object: NTハッシュ
description: Pass-the-Hashが成立するために攻撃者が必要とするのは盗んだNTハッシュだけで、平文パスワードは不要
evidence: microsoft-ntlm
verified at: 2026-08-01
certainty: established

subject: Kerberos
predicate: requires
object: Active Directory(AD DS)
description: Windows ServerのKerberos実装はActive Directoryドメインを前提とする
evidence: kerberos-authentication-overview
verified at: 2026-08-01
certainty: established

subject: IAKerb
predicate: mitigates
object: NTLM
description: フェーズ2で提供予定のIAKerbは、ドメインコントローラーへ到達できない経路が原因のNTLM依存を減らすことを狙う
evidence: retireNTLM
verified at: 2026-08-01
certainty: context-dependent

subject: ローカルKDC
predicate: mitigates
object: NTLM
description: フェーズ2で提供予定のローカルKDCは、ローカルアカウント認証でのNTLM依存を減らすことを狙うが、対応するWindows同士でしか効かない
evidence: retireNTLM
verified at: 2026-08-01
certainty: context-dependent

subject: Kerberos
predicate: recommendedFor
object: SMB署名
description: SMB署名のセッション鍵はパスワード由来のため、NTLMv2ではなくKerberosを使うことで鍵が強い状態で始まる
evidence: smb-signing-overview
verified at: 2026-08-01
certainty: established

subject: ドメインコントローラー
predicate: requires
object: SMB署名
description: ドメインコントローラーは既定でSYSVOL・NETLOGONへ接続してくるすべての相手にSMB署名を要求する
evidence: smb-signing-overview
verified at: 2026-08-01
certainty: established

subject: TryIPSPN
predicate: requires
object: SPN
description: TryIPSPNを有効にしたクライアントは、IPアドレスをホスト名としたSPNをSetspnで手動登録することでIPアドレス宛のKerberosを成立させる
evidence: configuring-kerberos-over-ip
verified at: 2026-08-01
certainty: context-dependent