Microsoft heeft met de updates van 13 oktober 2026 uitgebreide NTLM-auditing toegevoegd aan Windows Server 2022 (KB5126655) en Windows Server 2019 (KB5126651). De functie bestond al in Windows 11 24H2 en Windows Server 2025. Beheerders zien nu veel gedetailleerder waar het verouderde NTLM-protocol nog wordt gebruikt, zodat ze de overstap naar Kerberos beter kunnen voorbereiden.
Wat is er nieuw?
De nieuwe logging beantwoordt drie vragen: wie gebruikt NTLM (account en proces), waarom is NTLM gekozen in plaats van Kerberos en waar gebeurt dit (computernaam en IP-adres). Ook wordt gesignaleerd wanneer er een onveiligere variant zoals NTLMv1 wordt gebruikt. Dat maakt het eenvoudiger om verborgen afhankelijkheden van oudere applicaties of systemen op te sporen.
Waar vind je de gegevens?
De gebeurtenissen staan in Logboeken onder Toepassings- en servicelogboeken > Microsoft > Windows > NTLM > Operational. De logging staat standaard aan. Per rol worden andere gebeurtenis-ID's gebruikt:
- Client: 4020 (informatie) en 4021 (waarschuwing) voor uitgaande NTLM-pogingen
- Server: 4022 en 4023 voor inkomende NTLM-pogingen
- Domeincontroller, hetzelfde domein: 4032 en 4033
- Domeincontroller, tussen domeinen: 4030 en 4031
Informatiegebeurtenissen horen bij normaal NTLMv2-gebruik. Waarschuwingen duiden op een verzwakking, bijvoorbeeld NTLMv1 of ontbrekende berichtintegriteitscontrole (MIC).
Welke reden wordt vastgelegd?
Op clients bevat elke melding een reden-code. Voorbeelden zijn 2 (lokaal account), 4 (cloudaccount), 7 (doelnaam bevat een IP-adres) en 9 (geen verbinding met een domeincontroller). Zo blijkt vaak snel waarom Kerberos niet kon worden gebruikt, bijvoorbeeld omdat een applicatie op IP-adres verbindt in plaats van op servernaam.
Instellingen via groepsbeleid
Voor clients en servers regel je de logging met het beleid NTLM Enhanced Logging onder Beheersjablonen > Systeem > NTLM. Voor domeinbrede logging op domeincontrollers gebruik je Log Enhanced Domain-wide NTLM Logs onder Beheersjablonen > Systeem > Netlogon. De bestaande auditbeleidsregels, zoals "Audit NTLM authentication in this domain", blijven gewoon werken en schrijven hun eigen logs.
Wat betekent dit voor beheerders?
NTLM wordt stap voor stap teruggedrongen. Microsoft blokkeert NTLMv1 al standaard in nieuwere Windows-versies, en wie NTLM later wil beperken of uitzetten, moet eerst weten wat er stuk gaat. Een praktische aanpak:
- Installeer de oktoberupdate op een testomgeving of op een deel van de servers.
- Laat de logging enkele weken lopen, ook over een maandafsluiting heen.
- Groepeer de meldingen per applicatie en reden-code en los de oorzaken op, bijvoorbeeld door te verbinden via servernaam in plaats van IP-adres.
- Pak waarschuwingen over NTLMv1 als eerste aan.
Overige wijzigingen in de update
Dezelfde oktoberupdate bevat meer dan alleen de NTLM-logging. Zo worden de kwetsbare ACL's van de AD FS-sleutelcontainer (DKM) automatisch hersteld, tenzij je de waarde RemediateDkmAcl op 0 zet. Ook staat auditing voor ReFS-volumes op externe opslag nu standaard aan, en Windows Server 2022 krijgt een oplossing voor Storage Spaces Direct-schijven die na een update offline konden blijven. Verder zijn nieuwe tijdzones toegevoegd, waaronder Manitoba, en is cURL bijgewerkt naar versie 8.21.0.
Bekende problemen
Microsoft meldt bij KB5126655 een probleem met on-premises Exchange Server: aanmelden bij Outlook on the web of mailverkeer kan haperen doordat de standaardlimiet voor geheugen van de Endpoint Mapper (512) wordt overschreden. Een registerwijziging werkt tijdelijk als omweg; Microsoft onderzoekt het nog. Controleer dit daarom voordat je de update breed uitrolt op Exchange-servers.
Wat kun je hieruit meenemen?
Windows Server 2022 en 2019 beschikken sinds de update van 13 oktober 2026 over dezelfde gedetailleerde NTLM-logging als Windows Server 2025. Die geeft per melding aan wie NTLM gebruikt, waarom en waar, en staat standaard aan.
Wie NTLM wil terugdringen, heeft hiermee eindelijk concrete gegevens in handen in plaats van aannames. Verzamel de logs, werk de oorzaken weg en pak NTLMv1 als eerste aan. Houd bij het uitrollen rekening met het bekende Exchange-probleem.
