知識マップ: SMB署名とLDAPチャネルバインディング ── NTLM対策の「残り半分」を実務で締める

記事「SMB署名とLDAPチャネルバインディング ── NTLM対策の「残り半分」を実務で締める」の主張を、概念と関係(エッジ)に分解した知識グラフの全体です。各関係には根拠・確認日・確度が付いています。

SMB署名とLDAP署名・LDAPチャネルバインディングは、NTLM依存を潰し終えるまでの間もリレー攻撃を成立させないための防御です。SMB署名はWindows 11 24H2とWindows Server 2025で既定値が実際に変わり、署名非対応機器で接続エラーが起きます。LDAP署名は署名なしSASLバインドと平文単純バインドを拒否させ、チャネルバインディングはLDAPS上の認証をTLSチャネルへ結びつけます。どちらも監査イベントで接続元を特定してから強制に進めます。

SMB署名とLDAPチャネルバインディングの知識マップSMB署名・LDAP署名・LDAPチャネルバインディングがNTLMリレー攻撃をどう防ぐか、Windows 11 24H2/Windows Server 2025でのSMB署名の既定値変更と接続エラー、SASLバインド・単純バインド・チャネルバインディングトークンの関係、監査イベントによる接続元特定から強制へ進める順番を示す図防止する前提とする原因になり得る原因になり得る前提とする原因になり得る前提とする両立しない両立しない前提とする前提とする軽減する軽減する利用するで確認できるで確認できるで構成できるで構成できるで構成できる推奨される対応前提とするで確認できるより先に行うべきより先に行うべきより先に行うべき推奨される対応原因になり得る利用するSMB署名LDAP署名LDAPチャネルバインディングNTLMリレー攻撃Windows 11 バージョン24H2 / Windows Server 2025SMB署名必須化による接続エラーSMBゲストアクセスの無効化SMBゲストアクセスブロックのエラーSASLバインドLDAP単純バインドチャネルバインディングトークン(CBT)LDAPSNegotiateLDAP署名・チャネルバインディングの監査イベントグループポリシーKerberosドメインコントローラーSMB署名非対応検出監査NTLM

概念間の関係(全28件)

図と同じ関係を文章でも列挙します。表示している文と機械可読な意味データ(RDFa)は同じ要素に載っています。確度が「確立した関係」のものは直接の関係として、「条件付きの関係」のものは成立条件つきの言明(rdf:Statement)として表現しています。

主要概念の定義

SMB署名
SMBの全メッセージにセッション鍵由来の署名(メッセージ全体のハッシュと送信者・受信者の識別情報を含む)を付け、改ざんとリレー攻撃を検知する仕組み。Windows 11 24H2/Windows Server 2025で既定値が強化された。
LDAP署名
ドメインコントローラーが、署名(整合性検証)を要求しないSASLバインドと、平文接続の単純バインドを拒否できるようにする仕組み。
LDAPチャネルバインディング
LDAPS上のWindows認証(SASLバインド)をTLSチャネルに結びつけ、認証情報だけを別のTLS接続へ中継する攻撃を防ぐ仕組み。レジストリ値LdapEnforceChannelBindingやグループポリシーで制御する。
Windows 11 バージョン24H2 / Windows Server 2025
NTLMv1の削除、SMB署名の既定必須化、SMBクライアント側のNTLMブロック追加など、複数のセキュリティ既定値が変わった2024年後半以降のWindowsリリース世代。
SMBゲストアクセスの無効化
SMB署名の必須化に伴って有効になる、認証なし(ゲスト)でのSMB接続を拒否する設定。
LDAP単純バインド
ユーザーIDとパスワードをLDAP要求に直接載せて送るバインド。署名の枠組みを持たず、平文接続ではパスワードがそのまま流れる。CBTを持たずチャネルバインディング検証の対象外。
LDAPS
LDAP接続全体をSSL/TLSで暗号化する仕組み。389番ではなく636番ポートを使う。通信は暗号化するが、別チャネルへの認証情報の中継まではLDAPSだけでは防げない。
SASLバインド
SASL(Simple Authentication and Security Layer)というWindows認証(Negotiate、Kerberos、NTLM、Digest)の枠組みを使ったLDAPバインド。署名(整合性検証)を要求できる。
Kerberos
チケットによる一度だけの本人確認と相互認証を提供する認証プロトコル。Windows ServerはKerberos version 5と、公開鍵認証・認可データの転送・委任のための拡張を実装する。
ドメインコントローラー
Active Directoryのディレクトリサービスを提供し、KDCの機能やNTLMのパススルー認証の相手を担うサーバー。
SMB署名非対応検出監査
Windows 11 バージョン24H2以降で使える、署名や暗号化に対応しないサードパーティのSMBクライアント・サーバーを検出する監査機能。イベントID 31998・31999(クライアント)、3021・3022(サーバー)に記録される。
LDAP署名・チャネルバインディングの監査イベント
ドメインコントローラーのDirectory Serviceログに記録される、未署名バインドの件数(2887)・接続元(2889)、チャネルバインディング検証失敗(3039)・未保護バインドの件数(3040)・CBT非対応クライアントの監査(3074・3075)などのイベント群。
NTLM
パスワードの一方向ハッシュを使ったチャレンジ/レスポンス方式の認証プロトコル群(LANMAN・NTLMv1・NTLMv2を含む)。相互認証を持たず、サーバーが本物であると仮定できる環境向けに設計されている。
Negotiate
KerberosとNTLMのどちらかを選択するセキュリティパッケージ。認証に関わるシステムのいずれかがKerberosを使えない場合を除き、Kerberosを選択する。

機械可読データ

このページはサイトの知識グラフ(_data/knowledge/)から自動生成されています。誤りの指摘はお問い合わせからお願いします。