はじめに
Windows環境での認証といえば Kerberos が主流ですが、
現実のネットワークでは今でも NTLM / NetNTLM が広く使われています。
特に以下のような場面
- OWA（Exchange）
- RDP
- VPN
- Webアプリ（Windows認証）
そしてこの NetNTLM が、攻撃（Relayなど）の入り口になります。
NTLM とは
NTLM（NT LAN Manager） は、Windowsの古い認証プロトコルで、
パスワードそのものではなく「ハッシュ」を使って認証する仕組みです。
ユーザーのパスワードはこう変換されます：
password → NTハッシュ（MD4）
例：
Password123!
↓
NT hash: 8846f7eaee8fb117ad06bdd830b7586c
サーバーは「ハッシュ」で認証する。
NetNTLMとは
NetNTLM = NTLMをネットワーク越しに行うチャレンジレスポンス認証
特に重要：
- SMB
- HTTP
- LDAP
などで使われる。
NTLM vs NetNTLM の違い
| 項目 | NTLM | NetNTLM |
|---|---|---|
| 本質 | ハッシュ認証方式 | ネットワーク通信データ |
| 保存場所 | ローカル（SAM） | 通信中 |
| 取得方法 | ダンプ（LSASSなど） | リレー・スニッフィング |
| 攻撃方法 | Pass-the-Hash | Relay / Crack |
まとめ
NTLM と NetNTLM の違いを整理すると、以下のように理解するとスッキリします。
NTLM = 認証の仕組み（ハッシュベースの認証プロトコル）
NetNTLM = ネットワーク上で実行されるNTLM認証（チャレンジレスポンス通信）