SMBv1は「昭和の防犯ドア」？今すぐ鍵を交換すべき理由と実践ガイド
こんにちは。セキュリティの世界へようこそ。今日は、ITインフラの「古くて危ない玄関」である「SMBv1」についてお話しします。
新人のIT担当者や開発者の皆さんは、仕事で「SMBv1を無効化せよ」という指示を受けたことはありませんか？「なぜわざわざ古い仕組みを消すの？動かなくなるアプリがあるかもしれないのに…」と不安に思うかもしれません。
今日は、なぜこの設定がセキュリティの最優先事項なのか、攻撃者の視点も交えながら、泥棒に入られないための「デジタル防犯」を一緒に学んでいきましょう。
—
SMBってなに？なぜ「v1」が危ないの？
まず、SMB（Server Message Block）とは、ネットワーク経由でファイルを共有したり、プリンタを使ったりするための「会話ルール」のことです。Windows同士が「ねえ、このファイル貸して」「いいよ、どうぞ」とやり取りするための共通言語だと思ってください。
このSMBにはいくつかのバージョンがありますが、「v1」は1980年代に生まれた超・骨董品です。
攻撃者の視点：SMBv1は「鍵のかからない玄関」
例えるなら、SMBv1は「どんなピッキングツールでも開いてしまう、昭和時代の古い玄関ドア」です。
「EternalBlue」という恐ろしい脆弱性をご存知でしょうか？これは、この古いドアの隙間に特定の信号（パケット）を流し込むだけで、簡単に家の中に侵入し、すべてを乗っ取ってしまうという攻撃です。世界中で猛威を振るったランサムウェア「WannaCry」も、このドアから侵入しました。
現代のネットワーク環境でSMBv1を有効にしているということは、「我が家の玄関は、誰でも開けられる状態ですよ」と看板を掲げているようなものなのです。
—
対策：防犯レベルを一段階引き上げよう
SMBv1を無効化し、より安全な「v2」や「v3」という最新のドアに付け替えるのが、最初のステップです。さらに、ドアの鍵だけでなく「誰が来たかをしっかり確認する」仕組みを導入します。
1. SMBv1を無効化する（玄関の古いドアを撤去する）
PowerShellを使うと、一瞬で古いドアを撤去できます。管理者権限で以下のコマンドを実行してみましょう。
# 現在SMBv1が有効かどうかを確認する
Get-WindowsOptionalFeature -Online -FeatureName SMB1Protocol
# 有効なら無効化する（再起動が必要になる場合があります）
Disable-WindowsOptionalFeature -Online -FeatureName SMB1Protocol -Remove2. SMB署名を強制する（本人確認を厳格化する）
「署名」とは、通信のたびに「これは本当に私（サーバー）ですよ」という証明書を添える仕組みです。これがないと、攻撃者が「やあ、私だよ」と偽物になりすます「中間者攻撃」を許してしまいます。
グループポリシー（GPO）で以下の設定を「有効」にします。
- 場所: コンピュータの構成 > Windowsの設定 > セキュリティの設定 > ローカルポリシー > セキュリティオプション
- 設定名:
Microsoft ネットワーク サーバー: 常に通信にデジタル署名を行う
これを「有効」にすると、通信のたびに相手が本物かどうかを厳密にチェックするようになります。
—
「動かなくなるアプリ」への恐怖をどう乗り越えるか
「設定を変えたら、社内の古いシステムが止まりませんか？」という懸念は、現場で最も多い悩みです。
確かに、非常に古いNASや古い専用ソフトは、SMBv1しか話せないことがあります。しかし、だからといって放置するのは「泥棒が入るリスクを承知で、防犯システムをオフにする」のと同じことです。
おすすめの進め方：
1. 棚卸し: まずはネットワーク内のどの端末がSMBv1を使っているか、調査ツールで洗い出しましょう。
2. 隔離: SMBv1が必須の古い機器は、インターネットから完全に遮断された「孤立したネットワーク」に隔離します。
3. リプレイス: 「セキュリティの穴」である機器を使い続けることは、将来のインシデント費用を前借りしているようなものです。予算化して入れ替えを交渉しましょう。
—
最後に：セキュリティは「泥臭い積み重ね」です
「SMBv1を消す」という地味な作業は、派手なハッキング対策ではありません。しかし、こうした「当たり前のことを、当たり前にやる」ことこそが、最強の防御です。
攻撃者は、高度な技術よりも「手っ取り早く侵入できる古いドア」を常に探しています。皆さんが今日、そのドアを閉めることで、どれほど多くの脅威が未然に防がれるか。それは想像以上に大きな価値があります。
一歩ずつで構いません。まずは自分のPCや管理しているサーバーの「ドア」をチェックすることから始めてみてくださいね。応援しています！
コメント