Модель обеспечения безопасности, используемая в протоколе Microsoft SMB, идентична той же самой модели, используемой другими вариантами блока серверных сообщений (SMB) и состоит из двух уровней обеспечения безопасности - пользовательского и совместно используемого ресурса. Совместно используемый ресурс - это файл, каталог или принтер, к которому может быть получен доступ клиентами протокола Microsoft SMB.
На уровне пользователя аутентификация указывает, что клиент, пытающийся получать доступ к совместно используемому ресурсу на сервере, должен дать имя пользователя и пароль. Когда аутентификация прошла, пользователь может тогда получить доступ ко всем совместно используемым ресурсам на сервере, но не ресурсами защищенными обеспечением безопасности на уровне коллективного использования. Этот уровень обеспечения безопасности дает возможность системным администраторам специально определять какие пользователи и группы могут получить доступ к совместно используемому ресурсу. Это используется в Windows NT, Windows 2000 и Windows XP.
Аутентификация уровня коллективного использования указывает на то, что доступом к совместно используемому ресурсу управляет пароль, назначенный только для этого совместно используемого ресурса. В отличие от обеспечения безопасности уровня пользователя, этот уровень обеспечения безопасности не требует имени пользователя для аутентификации и никакая пользовательская идентичность не устанавливается. Это может быть использовано в Windows NT, Windows 2000 и Windows XP, чтобы давать дополнительный уровень управления доступом вне обеспечения безопасности уровня пользователя. Windows 95, Windows 98 и Windows ME реализуют только обеспечение безопасности уровня коллективного использования.
При обоих из этих уровней обеспечения безопасности пароль шифруется перед тем, как он отправляется на сервер. Протокол аутентификации запрос/ответ (NTLM) и Менеджер ЛВС (LM) шифрование поддерживают протоколом Microsoft SMB. Оба метода шифрования используют аутентификацию по типу запрос-ответ, когда сервер отправляет клиенту случайную строку, а клиент возвращает вычисленную строку ответа, которая доказывает, что у клиента есть достаточные параметры доступа для обращения к ресурсу.