Con la fine del supporto a Windows 10, anche l’autenticazione NTLM sta gradualmente scomparendo: un protocollo ormai superato e intrinsecamente rischioso. Nonostante ciò, molte aziende lo utilizzano ancora, soprattutto per applicazioni legacy, rendendone l’individuazione e la rimozione una sfida complessa in ambienti Active Directory articolati.
In questo articolo vedremo come identificare l’uso di NTLM, i rischi associati alle sue versioni più vecchie, e le strategie pratiche per bloccare NTLMv1, migrare verso protocolli più sicuri come Kerberos o soluzioni di identity security moderne, garantendo una transizione sicura e senza interruzioni dei servizi aziendali.
Come funziona NTLM e perché è rimasto in uso?
NTLM (NT LAN Manager) è uno storico protocollo di autenticazione Microsoft, nato per proteggere le credenziali evitando la trasmissione della password in chiaro tramite un meccanismo di challenge-response.
Oggi questo sistema non è più sicuro, soprattutto nella versione NTLMv1, facilmente aggirabile tramite attacchi brute-force e relay. Pur avendo Kerberos come standard preferito in Active Directory, molte applicazioni ritornano a NTLM in caso di errori o configurazioni errate, spesso senza che gli amministratori ne siano consapevoli.
Strategia per dire addio a NTLM
Scoprire dove viene usato NTLM
Il primo passo è mappare le applicazioni e i servizi che ancora utilizzano NTLM, sfruttando audit nei log di Windows, Group Policy e strumenti di identity security moderni che permettono report sintetici di tutti i casi di autenticazione NTLM.
Valutare il rischio: NTLMv1 vs NTLMv2
NTLMv1 è il più vulnerabile e va bloccato immediatamente tramite Group Policy.
NTLMv2 offre qualche protezione aggiuntiva, ma non è immune da attacchi relay e pass-the-hash. L’obiettivo è eliminare progressivamente anche NTLMv2.
Bloccare NTLMv1 con le corrette Group Policy
La policy “LAN Manager authentication level” deve essere configurata per accettare solo NTLMv2, rifiutando NTLMv1 e LM. Attenzione però: alcune applicazioni mal configurate possono bypassare queste regole, quindi è fondamentale monitorare costantemente.
Verificare il supporto delle applicazioni per metodi più sicuri
Prima di pianificare la sostituzione di un’app legacy, verificare se supporta già Kerberos, SAML, OpenID Connect o autenticazione via certificato. Spesso basta una corretta configurazione (es. SPN su SQL Server) per passare a Kerberos e abbandonare NTLM.
Pianificare la dismissione delle applicazioni NTLM-based
Quando non è possibile aggiornare o configurare diversamente, occorre pianificare la migrazione o la sostituzione delle app che dipendono esclusivamente da NTLM. Questo include sia upgrade, sia ritiro graduale delle soluzioni legacy.
Come funziona NTLM
NTLM è uno dei protocolli di autenticazione più datati di Microsoft, sviluppato originariamente per le prime reti Windows. Il suo scopo era permettere agli utenti di dimostrare la propria identità senza inviare la password in chiaro, utilizzando invece un meccanismo di challenge-response.
Negli anni ’90 era considerato sicuro, ma oggi NTLM è obsoleto e vulnerabile rispetto agli standard moderni.
Le fasi dell’autenticazione NTLM
NTLM Negotiate
Il client avvia l’autenticazione inviando al server un messaggio di negoziazione (“Negotiate”), indicando la versione NTLM supportata (NTLMv1 o NTLMv2).
NTLM Challenge
Il server risponde con un messaggio di sfida (“Challenge”) contenente un numero casuale (nonce) per prevenire replay attack.
NTLM Authenticate
Il client genera una risposta basata sull’hash della password memorizzata:
NTLMv1: cifra la challenge con DES, facilmente forzabile;
NTLMv2: aggiunge timestamp e altri parametri, più robusto ma non perfetto.
Verifica su Active Directory
Il server inoltra challenge e risposta al Domain Controller. Se i calcoli coincidono, l’autenticazione è accettata.
NTLM ha avuto un ruolo importante nella storia della sicurezza Windows, ma oggi rappresenta un rischio per la protezione delle identità.
Monitorare dove e come viene utilizzato è essenziale per migrare progressivamente verso autenticazioni più sicure, come Kerberos o, meglio ancora, soluzioni di protezione basate su identità e MFA moderne (ad esempio Silverfort).
Spegnere NTLM tramite le Group Policy
L’autenticazione NTLM rappresenta uno dei protocolli storici dell’ecosistema Microsoft. Nonostante la sua anzianità e le note vulnerabilità, NTLM è ancora oggi ampiamente presente in molte infrastrutture aziendali, spesso come meccanismo di fallback quando Kerberos non è disponibile o non configurato correttamente.
Questo comportamento di “retrocompatibilità” crea una superficie d’attacco silenziosa ma potenzialmente pericolosa. Per questo motivo, Microsoft e la maggior parte delle best practice di sicurezza raccomandano di limitare l’uso di NTLM, o quantomeno di eliminare le sue versioni più deboli come NTLMv1 e LAN Manager (LM).
Una delle modalità più semplici per ottenere questo risultato è tramite Group Policy, configurando la voce dedicata:
Policy: Network security: LAN Manager authentication level
Valore consigliato: Send NTLMv2 response only. Refuse LM & NTLM
Vantaggi:
Soluzione nativa, gratuita e distribuibile tramite Active Directory
Blocca versioni deboli senza interrompere NTLMv2
Implementazione rapida e centralizzata
Allineamento con benchmark di sicurezza (CIS, Microsoft Security Baselines)
Limiti:
Alcune applicazioni legacy potrebbero non supportare NTLMv2
Possibilità di bypass da parte di client/applicazioni interne
Mancanza di visibilità centralizzata senza log o SIEM
Nessuna gestione dinamica delle eccezioni
I vantaggi di questa soluzione
La forza di questa policy è nella sua semplicità. È una misura nativa, gratuita e facilmente distribuibile attraverso Active Directory, senza necessità di software aggiuntivi o modifiche complesse.
Soluzione nativa: fa parte delle impostazioni standard di Windows, quindi è immediatamente disponibile in qualsiasi dominio Active Directory.
Blocco mirato: disattiva solo le versioni deboli (LM e NTLMv1), lasciando intatto NTLMv2 per compatibilità.
Implementazione rapida: può essere applicata in modo centralizzato a interi gruppi di computer o server.
Allineamento con le linee guida di sicurezza: rappresenta un requisito fondamentale in molti framework di sicurezza (CIS Benchmark, Microsoft Security Baselines e altri...).
In un contesto ben gestito, questa policy può essere il primo passo efficace per modernizzare le autenticazioni senza interrompere i servizi.
Con un’unica impostazione, si riduce in modo significativo la superficie d’attacco legata a protocolli legacy, chiudendo la porta a tecniche di attacco ormai ampiamente automatizzate, come NTLM relay, brute-force o hash replay.
Gestione e spegnimento di NTLM con Silverfort
Le policy GPO offrono un primo livello di protezione, ma la loro efficacia è limitata. In ambienti complessi servono strumenti che vadano oltre la semplice configurazione di dominio. Silverfort si integra con Active Directory in modo agentless, consentendo di rilevare, monitorare e bloccare in tempo reale l’uso di NTLM v1 e v2.
Funzionalità principali:
Rileva automaticamente tutti i flussi NTLM, identificando client, server, utenti e applicazioni
Genera report dettagliati su chi sta autenticandosi con NTLM e con quale versione
Applica policy di blocco granulari, configurabili per utente, gruppo, dispositivo o tipo di protocollo
Integra MFA anche su protocolli legacy
Identifica automaticamente le cause del fallback
Supporta rollout graduali, con modalità “Warn” prima dell’effettivo blocco
Vantaggi:
Visibilità completa e centralizzata
Gestione adattiva della dismissione
Supporto MFA su NTLM
Strumento di analisi per la migrazione
Compatibilità con ambienti complessi
Limiti:
Soluzione a pagamento e richiede setup iniziale
Implementazione più articolata
Quando usarla: ideale per aziende medio-grandi, ambienti con numerose applicazioni legacy e gestione hybrid cloud complessa.
La dismissione di NTLM è un progetto, non un flag: audit del traffico, individuazione delle dipendenze applicative, enforcement graduale. Se preferisci affrontarla con una mappa già pronta, nel nostro percorso di hardening Active Directory per aziende l'analisi NTLM è una delle fasi standard, con baseline di audit e piano di phase-out.
Tabella di confronto sintetica:
Conclusioni
La Group Policy resta un primo punto di partenza strategico e semplice, ma non offre controllo né visibilità sul reale utilizzo di NTLM. Silverfort rappresenta la soluzione enterprise-oriented per la dismissione graduale e sicura, proteggendo le applicazioni legacy con MFA nel periodo di transizione.
Prima azione: bloccare NTLMv1 via GPO e parallelamente valutare Silverfort per mappare automaticamente le dipendenze e pianificare la completa eliminazione di NTLM senza rischi operativi.
Se vuoi affrontare questa transizione in sicurezza o hai bisogno di un assessment di security di Active Directory con visibilità su tutte le dipendenze, contattaci su Nexsys.