SMBv1という「亡霊」を叩き出す：現代のインフラ要塞化における最優先事項
現場でインシデント対応をしていると、いまだに「なぜこんな古いプロトコルが生きているんだ？」と頭を抱える瞬間がある。その筆頭がSMBv1だ。2017年のWannaCryを記憶しているエンジニアなら、このプロトコルがどれほど危険な「バックドア」であるか、身に染みているはずだ。
SMBv1は単なるレガシーではない。プロトコル自体に設計上の欠陥があり、認証なしのコード実行すら許容してしまう脆弱性（EternalBlueなど）の温床だ。今回は、この亡霊をネットワークから完全に排除し、現代の基準でSMBを堅牢化する手法を伝授する。
—
1. なぜSMBv1は「即死レベル」の脆弱性なのか
SMBv1が危険なのは、認証をバイパスするような攻撃が容易だからだ。攻撃者はまずネットワーク内に侵入し、SMBv1を話すノードをスキャンする。見つかれば、細工されたパケットを送り込むだけで、管理者権限を奪取し、ランサムウェアを仕込む。
特筆すべきは、これが「OSのパッチを当てるだけでは不十分」なケースが多いという点だ。レガシーなプリンタや古いNASがSMBv1を要求するため、あえて有効にしている現場も多い。だが、今の時代にSMBv1を維持する理由は存在しない。セキュリティと利便性を天秤にかける余地はなく、SMBv1は「即刻無効化」が正解だ。
—
2. Windows環境での無効化・強制設定（GPO）
GUIでポチポチ設定するのも良いが、本番環境ではグループポリシー（GPO）で組織全体に適用するのが鉄則だ。以下の手順で、SMBv1の完全停止と、SMB署名・暗号化の強制を行う。
PowerShellによるSMBv1の無効化（検証用）
まず、自身の端末やサーバーでSMBv1が有効か確認し、無効化するコマンドだ。
# SMBv1が有効か確認（Trueなら即無効化対象）
Get-WindowsOptionalFeature -Online -FeatureName SMB1Protocol
# SMBv1を無効化する
Disable-WindowsOptionalFeature -Online -FeatureName SMB1Protocol -NoRestartSMB署名と暗号化の強制（GPO設定のポイント）
単にSMBv1を消すだけでなく、SMBの通信自体を署名と暗号化で守る必要がある。これを怠ると、中間者攻撃（MITM）でパケットを改ざんされるリスクが残る。
1. コンピューターの構成 > ポリシー > Windows の設定 > セキュリティの設定 > ローカル ポリシー > セキュリティ オプション を開く。
2. Microsoft ネットワークサーバー: 常に通信にデジタル署名を行う を 有効 にする。
3. Microsoft ネットワーククライアント: 常に通信にデジタル署名を行う を 有効 にする。
4. SMB 3.0以降を利用している場合、暗号化が必須となるように設定を調整する。
—
3. Webアプリ側での対策：SMB通信の遮断とリスク低減
インフラだけでなく、Webアプリ開発者もSMBに関連するリスクを理解しておくべきだ。例えば、WebサーバーがSMB経由でファイル共有を行っている場合、アプリの脆弱性（LFIなど）が悪用されると、攻撃者がSMB経由で内部ネットワークへ横展開する可能性がある。
もしアプリ内でファイル操作を行う必要があるなら、SMBを直接叩くのではなく、API経由でのアクセスに切り替えるのがセキュアな設計だ。以下は、PythonでSMBの脆弱性を突くようなライブラリ（impacket等）を使わず、安全なストレージ操作を意識した実装例である。
import os
import shutil
# 危険な実装例：ネットワークパスを直接指定して操作するのは避ける
# bad_path = "\\\\legacy-server\\shared\\data.txt"
# 推奨される実装例：環境変数やセキュアな設定ファイルからマウントポイントのみを取得
def secure_file_process(filename):
# ベースディレクトリを制限（パストラバーサル対策）
base_dir = "/mnt/secure_storage/"
safe_path = os.path.join(base_dir, os.path.basename(filename))
# ファイル操作の実行
if os.path.exists(safe_path):
with open(safe_path, 'r') as f:
return f.read()
return None—
4. 最後に：セキュリティは「設定」ではなく「文化」だ
SMBv1の無効化は、セキュリティ要塞化の第一歩に過ぎない。しかし、この「古いものを捨てる勇気」を持つことが、組織のセキュリティ耐性を劇的に向上させる。
最後に一つだけアドバイスを送る。
「古いOS、古いプロトコル、そして古い考え方」。これら三つが揃った環境は、攻撃者にとっての楽園だ。今日帰宅する前に、自社のネットワークで Get-SmbServerConfiguration を叩いてみてほしい。もし結果に不穏なフラグを見つけたら、それが今日君が倒すべき敵だ。
インシデントが起きてからでは遅い。システムを止める勇気を持つこと。それが、真のエンジニアが持つべき矜持だ。
コメント