Microsoft, Windows’ta NTLM’i Varsayılan Olarak Devre Dışı Bırakmaya Hazırlanıyor

Microsoft, eski NTLM (New Technology LAN Manager) kimlik doğrulama protokolünü daha güvenli Kerberos tabanlı alternatifler lehine aşamalı olarak devre dışı bırakmak için kapsamlı bir yol haritası açıkladı. Şirket, bir sonraki büyük Windows Server sürümünde ve buna bağlı Windows istemci sürümlerinde NTLM’i varsayılan olarak kapatmayı planlıyor. Bu adım, 30 yılı aşkın süredir kullanılan NTLM’in Windows güvenliği açısından sona yaklaşmasını temsil ediyor.

Microsoft NTLM’i Neden Kaldırıyor?

NTLM, Haziran 2024’ten bu yana resmi olarak “deprecated” (kullanımdan kaldırılacak) statüsünde yer alıyor. Bunun nedeni, protokolün Windows ortamlarını çeşitli saldırılara açık hale getiren kritik güvenlik zafiyetlerine sahip olması.

NTLM’in en temel güvenlik problemi, sunucu kimlik doğrulaması yapmaması. Bu durum, sistemleri “man-in-the-middle” saldırılarına karşı savunmasız bırakıyor. Protokol; MD4 ve MD5 gibi artık güvenli kabul edilmeyen kriptografik algoritmalara dayanıyor ve bu da “pass-the-hash” saldırılarını mümkün kılıyor. Saldırganlar NTLM kimlik doğrulama isteklerini relay edebiliyor ve parola hash’leri üzerinde brute-force saldırıları gerçekleştirebiliyor.

Bunlara ek olarak NTLM, sınırlı tanılama verisi ve denetim (auditing) görünürlüğü sunduğu için güvenlik olaylarının tespit edilmesini ve müdahale edilmesini zorlaştırıyor.

NTLM’i Devre Dışı Bırakmaya Yönelik Üç Aşamalı Yol Haritası

Microsoft, NTLM’in varsayılan olarak kapatılmasına geçişte kurumlara öngörülebilir ve kontrollü bir süreç sunmak amacıyla üç aşamalı bir yaklaşım benimsiyor. Bu strateji, BT yöneticilerinin sistem uyumluluğunu koruyarak kendi hızlarında geçiş yapabilmesini hedefliyor.

Aşama 1: Gelişmiş Denetim (Enhanced Auditing)

Gelişmiş NTLM denetimi, Windows 11 sürüm 24H2 ve Windows Server 2025 ile birlikte kullanılabilir hale geldi. Bu aşama, NTLM’in ortamda nerede ve neden kullanıldığını anlamaya yardımcı oluyor.

Microsoft, gelişmiş denetim için yeni Group Policy ayarları tanıttı:

• NTLM Enhanced Logging (istemci ve sunucular için)
• Log Enhanced Domain-wide NTLM Logs (domain controller’lar için)

Denetim varsayılan olarak etkin durumda ve loglar şu konumda tutuluyor:
Applications and Services Logs > Microsoft > Windows > NTLM > Operational

Loglar PowerShell üzerinden şu komutla incelenebiliyor:

Get-WinEvent -LogName “Microsoft-Windows-NTLM/Operational” | Format-List

İstemci sistemler NTLM denemelerinde Event ID 4020 (Information) ve Event ID 4021 (Warning) kayıtlarını oluştururken, sunucular Event ID 4022 (Information) ve Event ID 4023 (Warning) kayıtlarını oluşturuyor. Her log girdisi, NTLM kullanımına sebep olan işlem ve kullanım gerekçesi hakkında detaylı bilgi içeriyor.

Aşama 2: Kerberos Geliştirmeleri

2026’nın ikinci yarısında, Windows 11 24H2 ve Windows Server 2025 için NTLM fallback senaryolarını azaltmaya yönelik yeni özellikler yayınlanacak. Bunlar arasında:

• IAKerb (Initial and Pass-Through Authentication Using Kerberos)
  Domain controller’a doğrudan ağ bağlantısının olmadığı durumlarda Kerberos kimlik doğrulamasını mümkün kılıyor.
• Local Key Distribution Center (Local KDC)
  Modern sistemlerde yerel hesap kimlik doğrulamasının NTLM’e düşmesini engelliyor.

Bunlara ek olarak Microsoft, Windows’un çekirdek bileşenlerini Kerberos’u öncelikli olarak pazarlık edecek şekilde güncelliyor. Böylece hard-coded NTLM kullanımının önemli ölçüde azaltılması hedefleniyor.

Aşama 3: NTLM Varsayılan Olarak Devre Dışı

Bir sonraki büyük Windows Server LTSC sürümü ve buna bağlı Windows istemci sürümleriyle birlikte, NTLM ağ kimlik doğrulaması varsayılan olarak devre dışı bırakılacak. Windows, “secure by default” yaklaşımıyla NTLM’i otomatik olarak kullanmayacak.

Ancak “varsayılan olarak kapalı” ifadesi, NTLM’in tamamen kaldırıldığı anlamına gelmiyor. NTLM işletim sistemi içinde yer almaya devam edecek ve yeni politika kontrolleri aracılığıyla ihtiyaç halinde yeniden etkinleştirilebilecek. Microsoft, NTLM’i sistem genelinde değil, yalnızca belirli senaryolar için açmaya imkân tanıyan daha granular kontrol mekanizmaları sunmayı planlıyor.

NTLMv1 Kaldırma Takvimi

NTLMv1, Windows 11 24H2 ve Windows Server 2025 sürümlerinden halihazırda kaldırılmış durumda. Eylül 2025 itibarıyla NTLMv1 türevi kimlik doğrulama girişimleri Event ID 4024 ile audit modunda loglanacak, ancak kimlik doğrulama çalışmaya devam edecek.

Ekim 2026’da Microsoft, BlockNTLMv1SSO registry anahtarının varsayılan değerini 0 (Audit) yerine 1 (Enforce) olarak değiştirecek. Bu değişiklik, söz konusu registry anahtarı daha önce manuel olarak dağıtılmamış sistemlerde geçerli olacak ve NTLMv1’i fiilen devre dışı bırakacak.

Kerberos Ana Kimlik Doğrulama Protokolü Oluyor

Kerberos, 20 yılı aşkın süredir Windows’un birincil kimlik doğrulama protokolü konumunda bulunuyor ve NTLM’e kıyasla çok daha güçlü güvenlik özellikleri sunuyor. Karşılıklı kimlik doğrulama, Single Sign-On (SSO) ve delegasyon desteği Kerberos’un öne çıkan avantajları arasında yer alıyor.

Microsoft’un uzun vadeli hedefi, Kerberos’u Windows’taki tek kimlik doğrulama protokolü haline getirmek. Şirket, NTLM kullanımındaki düşüşü izleyerek protokolün tamamen kaldırılması için doğru zamanlamayı belirlemeyi planlıyor.

NTLM’in Kaldırılmasına Nasıl Hazırlanılmalı?

Microsoft, son aşama gelmeden hazırlıklara başlanmasını öneriyor. Kurumların:

• Gelişmiş NTLM denetimini devreye alması
• NTLM kullanan tüm uygulama ve servisleri envanterlemesi
• Gerekirse uygulama üreticileriyle iletişime geçerek Kerberos desteğini doğrulaması
• NTLM kapalı senaryoları test ortamlarında denemesi

öneriliyor.

Ayrıca “Network security: Restrict NTLM: Outgoing NTLM traffic to remote servers” Group Policy ayarının önce audit, ardından enforce modunda kademeli olarak uygulanması tavsiye ediliyor.

Windows Server 2025’te Yapılandırma Değişiklikleri

Windows Server 2025, NTLM’i sertleştirmeye yönelik çeşitli yeniliklerle geliyor. SMB istemcisi artık NTLM’i outbound bağlantılarda engelleyebiliyor. Bu işlem Disable-SmbClientNtlmAuth cmdlet’i ile gerçekleştirilebiliyor.

Buna ek olarak SMB authentication rate limiter varsayılan olarak etkin durumda. Bu özellik, NTLM veya PKU2U tabanlı başarısız kimlik doğrulama denemeleri arasında gecikme ekleyerek brute-force saldırılarını zorlaştırıyor.

NTLM Fallback Hangi Durumlarda Hala Oluşuyor?

Modern Windows sürümlerinde bile bazı durumlar NTLM fallback’e yol açabiliyor:

• Domain controller’a doğrudan bağlantının olmaması
• Hostname yerine IP adresiyle bağlantı kurulması
• SMB sunucusu için Kerberos CIFS SPN kaydının eksik olması
• Domain’e bağlı makinelerde yerel hesap kullanımı

Hard-coded IP kullanan uygulamalar için IP adresine SPN tanımlanarak bu durum aşılabiliyor. Ancak 2026’nın ikinci yarısında gelmesi planlanan IAKerb ve Local KDC özellikleri, bu senaryoların büyük bölümünü doğal olarak ortadan kaldıracak.

Ek Güvenlik Önlemleri

Microsoft, NTLM sürecinin dışında da “Extended Protection for Authentication (EPA)” mekanizmasını daha fazla serviste varsayılan olarak etkinleştiriyor. EPA, istemcinin doğru sunucuya bağlandığını kanıtlamasını zorunlu kılarak NTLM relay saldırılarını engelliyor.

EPA halihazırda Exchange Server, Active Directory Certificate Services (AD CS) ve LDAP servislerinde etkin durumda.

İzleme ve Otomasyon Üzerindeki Etkiler

NTLM’in kaldırılması, Windows izleme çözümleri ve WMI tabanlı otomasyon süreçlerini doğrudan etkiliyor. Pek çok izleme aracı geçmişte NTLM’i fallback olarak kullanıyordu. Bu araçların Kerberos desteğinin doğrulanması ve yapılandırmaların güncellenmesi gerekiyor.

Ayrıca NTLM kullanan otomasyon script’lerinin Kerberos, OAuth 2.0 veya sertifika tabanlı kimlik doğrulamaya taşınması öneriliyor.

Varsayılan Devre Dışı Sonrası Uzun Vadeli Plan

Microsoft, bir sonraki büyük Windows Server LTSC sürümünün ötesi için net bir tarih paylaşmadı. Ancak şirketin nihai hedefi açık: NTLM’i Windows’tan tamamen kaldırmak. Bu sürecin zamanlaması, kurumsal ortamlardan toplanan gerçek kullanım verilerine göre belirlenecek.