NTLM認証とは？えぬてぃーえるえむにんしょう
NTLM認証とは、Windows環境で長く使われてきたチャレンジレスポンス型の認証方式。サーバが出した乱数に対し、クライアントがパスワードのハッシュを鍵として応答を計算するため、パスワード自体は流れない。ただしサーバ側を確かめる相互認証がなく、ハッシュを入手されればそのまま本人として振る舞える。
最終更新：2026-10-06
この語が出る過去問を解く →背景
Kerberosが既定になった後も、ドメインに参加していない端末、IPアドレスを直接指定した共有アクセス、古い機器との接続のために互換の経路として残された。攻撃側から見れば、より弱い方式へ落とせる余地があるということで、格下げを誘う手口が定着した。互換性のために残した経路が最も弱い環をつくる典型例になっている。
具体例
MicrosoftはWindows 11とWindows Server 2025でNTLMを非推奨とし、Kerberosへの一本化を進めている。移行前でも、SMB署名とLDAP署名を必須にすれば、応答をそのまま別のサーバへ中継する攻撃は成立しにくくなる。監査ログで利用元を洗い出してから無効化する、という順序が実務の手順になる。
試験での引っ掛け
パスワードが流れないから安全、とはならない。ハッシュがそのまま認証材料になるためPass the Hashが成立し、利用者ごとのソルトが無いことからレインボーテーブルにも弱い。NTLMv1とv2で強度が違う点、Kerberosと違ってチケットではなく都度の応答である点も対比で問われる。
関連用語
出た過去問
出典：令和5年度 春期 情報処理安全確保支援士試験 午前Ⅱ 問2（IPA）解説で登場
Pass the Hash攻撃はどれか。
正解：パスワードのハッシュ値だけでログインできる仕組みを悪用してログインする。
要点：Pass the Hashはハッシュ値を鍵代わりに提示して認証を突破する
Pass the Hash攻撃は、NTLM認証などパスワードのハッシュ値そのものを認証の資格情報として使う仕組みを悪用し、平文パスワードを知らないままハッシュ値を提示してログインする攻撃である。よってイが該当する。ハッシュ値を平文へ戻す(解読する)必要がない点が本質で、侵入後の横展開(ラテラルムーブメント)で多用される。
出典：令和7年度 秋期 情報処理安全確保支援士試験 午前Ⅱ 問2（IPA）解説で登場
Pass the Hash攻撃はどれか。
正解：パスワードのハッシュ値だけでログインできる仕組みを悪用してログインする。
要点：Pass the Hashは盗んだハッシュ値のまま認証を通す横展開手口
WindowsのNTLM認証などでは、平文パスワードではなくそのハッシュ値そのものが認証の資格情報として使われる。Pass the Hashは、侵入した端末のメモリなどから抜き取ったハッシュ値をそのまま提示して他の端末やサーバへログインする手口で、パスワードを解読する必要がない。管理者資格情報の使い回しがあると横展開が容易になるため、特権の分離やLSAの保護（資格情報を持つプロセスの防御）、多要素認証の導入が対策となる。
出典・参考
解説は資格暗記が独自に作成しています。過去問の出典は各問題に記載のとおりです。