Windows에서 파일 공유나 원격 로그온에 사용되는 인증 프로토콜의 수준은 "네트워크 보안: LAN Manager 인증 수준" 정책 하나로 제어됩니다. 이 글에서는 해당 정책의 개념부터 그룹 정책 및 레지스트리를 통한 변경 방법, 그리고 LM·NTLM 비활성화 시의 영향까지 체계적으로 정리했습니다.
LAN Manager 인증 수준이란?
LAN Manager 인증 수준이 설정되면 Windows는 사용자 인증 시 어떤 인증 프로토콜을 허용할지 결정합니다. Windows에서 사용할 수 있는 프로토콜은 다음 세 가지입니다.
- LM(Lanman): 보안 수준이 가장 낮은 초기 버전의 프로토콜입니다.
- NTLMv1: LM보다는 개선된 방식이지만, 여전히 NTLMv2만큼 안전하지는 않습니다.
- NTLMv2: 재생 공격(replay attack)을 방어할 수 있어 세 프로토콜 중 가장 안전한 것으로 평가됩니다.
그룹 정책에서 LAN Manager 인증 수준 변경하기
- Win + R 키를 누르고
gpedit.msc를 입력해 로컬 그룹 정책 편집기를 실행합니다. - 다음 경로로 이동합니다.
컴퓨터 구성 → Windows 설정 → 보안 설정 → 로컬 정책 → 보안 옵션 - 목록 하단에서 "네트워크 보안: LAN Manager 인증 수준" 항목을 찾습니다.
- 항목을 마우스 오른쪽 버튼으로 클릭한 뒤 속성을 선택합니다.
- 드롭다운 목록에서 원하는 인증 수준을 선택하고 확인을 누릅니다.
예를 들어 "LM 및 NTLM 거부(NTLMv2 협상만 사용)"를 선택하면 클라이언트는 NTLMv2 응답만 전송하게 됩니다.
인증 수준을 '정의되지 않음'으로 되돌리는 방법
정책을 기본 상태인 "정의되지 않음"으로 되돌리려면 그룹 정책 편집기에서 해당 항목의 설정을 "정의되지 않음"으로 선택하거나, 아래의 레지스트리 값 LmCompatibilityLevel을 삭제하면 됩니다. 값이 없을 경우 Windows의 내장 기본 동작이 적용되며, 이는 사실상 "NTLMv2 응답만 보내기"(레지스트리 값 3)에 해당합니다. 이 상태에서는 취약한 LM 및 NTLM 응답이 거부됩니다.
레지스트리에서 LmCompatibilityLevel 값 변경하기
- Win + R 키를 누르고
regedit를 입력해 레지스트리 편집기를 실행합니다. - 다음 키로 이동합니다.
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Lsa - 오른쪽 창에
LmCompatibilityLevel값이 없다면 메뉴에서 편집 → 새로 만들기 → DWORD(32비트) 값을 클릭합니다. - 새 값의 이름을
LmCompatibilityLevel로 지정합니다. - 해당 값을 두 번 클릭하여 아래 표에 맞는 데이터를 입력합니다.
- 설정 적용을 위해 시스템을 재시작합니다.
- 0: LM 및 NTLM 응답 보내기
- 1: LM, NTLM, NTLMv2 응답 보내기
- 2: NTLM 응답만 보내기
- 3: NTLMv2 응답만 보내기 (기본값)
- 4: 도메인 컨트롤러가 LM 및 NTLM 응답 거부
- 5: 도메인 컨트롤러가 LM 및 NTLM 응답을 거부하고 NTLMv2만 허용
NTLM 인증을 비활성화해야 할까요?
NTLMv2는 더 강력한 암호화 알고리즘을 사용하여 과거에 흔했던 NTLM 관련 공격을 방지합니다. 실제로 Windows 7 / Windows Server 2008 R2부터는 취약한 LM 및 NTLMv1 프로토콜이 기본적으로 비활성화되어 있습니다. Windows 운영 체제의 보안을 한층 강화하고 무단 접근으로부터 데이터를 보호하려면, 예를 들어 Netwrix 감사 솔루션이 설치될 호스트에서는 NTLM 인증 트래픽을 비활성화하는 것이 권장됩니다. Windows 도메인 환경에서 NTLM 인증 자체를 차단하려면 위의 정책 절차를 활용하면 됩니다.
NTLM 비활성화 시의 영향
NTLM 감사 정책이 활성화되어 있는 환경이라면 일상적인 동작에는 큰 차이가 없습니다. 다만 NTLM 인증의 성공 또는 실패와 관련된 감사 이벤트가 더 이상 이벤트 뷰어의 보안 로그에 기록되지 않는 점에 유의해야 합니다. 따라서 완전히 비활성화하기 전에 감사 로그를 먼저 점검하여, 구형 프린터·NAS·레거시 애플리케이션 등 NTLM에 의존하는 장비가 없는지 확인하는 것이 좋습니다.
팁: 레지스트리를 수정하기 전에는 반드시 백업을 진행하고, 도메인 환경에서는 그룹 정책 변경이 전체 조직에 영향을 줄 수 있으므로 신중하게 적용하시기 바랍니다.