SMBポートセキュリティガイド：ポート139とポート445の説明

組織は、インフラ全体にわたるコミュニケーションニーズに対応するために、さまざまなソリューションの活用を増やしています。ファイルシステムはコラボレーションに不可欠な要素であるため、この記事では、多くのシステムで必要とされる最も広く使用されているプロトコルの1つを掘り下げます。SMBプロトコル、ポート139、ポート445がどのように機能するのか、関連するリスク、そしてより安全な通信チャネルを提供するための是正（修復）手順について学びます。

SMB ポートとは？

SMB（Server Message Block）ポートは、コンピューターネットワーク上でファイルやリソースを共有するために主に利用されるネットワークポートです。SMB は TCP ポート 445 上で動作し、ネットワーク上のデバイス間でファイル、プリンター、シリアルポートへの共有アクセスを可能にします。

さらに、リソース共有という中核的な機能により、SMB は次のような用途に利用できます。

• メイルスロットを含む（プロセス間通信メカニズム）
• 名前付きパイプ（プロセスが同一マシン上、またはネットワーク経由で通信するための方法）。

ポート 139 とポート 445 とは何ですか？

SMB プロトコルを正しく動作させるには、他のシステムと通信するためにネットワークポートが必要です。SMB では、オープンポートとしてポート 139 またはポート 445 のいずれかが必要です。

ポート 139

もともと SMB は、同一ネットワーク上の Windows コンピューター同士が通信するためのアプリケーション層プロトコルとして、ポート 139 で動作していました。これは TCP/IP 上の NetBIOS で動作し、現代の環境ではポート 445 によって引き継がれています。

ポート 445

ポート 445 は、より新しい SMB バージョンで使用されます。Windows 2000 がこれを採用して、直接的な TCP/IP 通信に使うようになったためです。通常はポート 139 よりも好まれ、さらにインターネット経由のファイル共有など、異なるネットワーク間での通信も可能にします。

SMB プロトコルはどのように動作しますか？

クライアント・サーバー通信

SMB は、レスポンスとリクエストのやり取り（response-request）を行うプロトコルとして知られています。クライアント・サーバー関係という考え方を採用しており、クライアントが特定の要求を行い、サーバーが要求どおりに応答します。現在の実用例としては、ファイル リソースが要求される場合や、プリンターを共有する必要がある場合などが挙げられます。SMB は、メールスロット（mail slots）や named pipe の状況といった他の用途にも使われます。

歴史的な発展

歴史的に、SMB は IBM に端を発し、1983 年にネットワーク経由で DOS のファイルにアクセスするために設計されました。Microsoft が SMB プロトコルを LAN Manager 製品に統合したのは 1990 年になってからです。そこからは、CIFS の導入のような事例を通じて SMB プロトコルの継続的な成熟が進み、また、上述の SMB 2 および SMB 3 のアップグレードで説明されているとおり、効率性・パフォーマンス・セキュリティの面で節目となる改善が段階的に実現されました。

SMB プロトコルの方言

業界全体で SMB の実装が増えていくにつれて、ネットワーク要件は SMB に対してさまざまな要求を持つように進化しました。これにより、異なる環境に対応するための複数の SMB プロトコルの方言が登場しました。必要性や用途に応じて、さまざまな目的のために異なる方言を実装できます。

SMB 方言のバリエーション

人気のある SMB の方言とその用途の一覧です：

• CIFS（Common Internet File System）：は、リモート サーバー経由のネットワーク接続向けに設計された、Microsoft が開発した方言（方言/実装）で、Windows 95 で登場しました。この方言（CIFS Port）により、クライアントはローカルにアクセスしているかのように、リモートのファイルおよびプリンタ共有へ接続できるようになりました。
• Samba: Samba は、Linux/Unix マシンが Windows デバイスと通信できるようにするオープンソースの方言（Samba port）です。
• NQ: は Visuality Systems によって開発されたもので、SMB プロトコルを非 Windows プラットフォームに提供します。特に、プリンタなどの機器や家庭用 ネットワーク機器でよく見られます。
• Tuxera SMB and MoSMB：また、企業のファイル共有や高度な認証などの特定の機能のために、SMB プロトコルを用いた専用の方法（方言）も作られました。

オープンな SMB ポートに関連するセキュリティ リスク

SMB プロトコルで使用されるようなポートは、さまざまなネットワークの内外で通信するために必要です。使用自体は危険ではありませんが、オープンなポートは悪意のある目的で使用され、悪用される可能性があります。

ポートを過度に公開すると、次のような脆弱性につながる可能性があります。

• ワームに悪用され得るポート
• 中間者攻撃、
• NetBIOS スプーフィング、

ケーススタディ：WannaCry ランサムウェア：

最近の事例としては WannaCry ランサムウェア攻撃 が挙げられます。これは、旧式の SMB バージョンを実行している Windows クライアントを標的にしました。ワーム感染が標的のマシンにインストールされ、身代金と引き換えにユーザーのファイルを暗号化しました。さらに、感染したシステムは SMB v1 プロトコルを介して他のマシンを探し始め、別のシステムがそれらの開放されたポートを使用している場合、そのマシンにランサムウェアが自己インストールされて、拡散が継続される可能性がありました。

WannaCry は多くの企業やネットワークに混乱と被害をもたらしましたが、システムが最新のセキュリティ対策でパッチ適用されていれば、壊滅的な結果の影響ははるかに小さくできたはずです。

SMB ポート 139 および 445 を保護するためのベストプラクティス

SMB ポートは標的にされ得るため、さまざまな攻撃から保護するために実装できるベストプラクティスをいくつか紹介します。

ファイアウォールとエンドポイント保護を有効にする

これらの ネットワーク セキュリティ デバイス を有効にすることで、これらのポートを脅威から保護できるほか、既知の悪意ある IP アドレスに対するブラックリスト サービスも提供できます。

VPN を利用する

VPN を利用することで、ネットワーク トラフィックを暗号化し、悪意ある攻撃者から保護できます。

VLAN を作成する

仮想 LAN（VLAN）を作成することで、内部トラフィックを分離し、攻撃面を制限できます。

MAC アドレス フィルタリングを実装する：

これらのフィルタによって、未知のシステムが内部ネットワークにアクセスしたり侵入したりすることを防げます。

システム設定の変更を実装する

次の変更を行うことで、SMB 攻撃に対するセキュリティを強化できます。

TCP/IP 経由の NetBIOS を無効にする

• ［スタート］を選択し、［設定］をポイントしてから、［ネットワークとダイヤルアップ接続］を選択します。
• ［ローカル エリア ネットワーク接続］を右クリックし、［プロパティ］を選択します。
• ［Internet Protocol（TCP/IP）］を選択し、［プロパティ］を選択します。
• 「詳細設定」を選択します。
• WINS タブを選択し、「TCP/IP 経由の NetBIOS を無効にする」を選択します。

ポート状態を監視するためのコマンド

Windows コンピューターで NetBIOS が有効になっているかどうかを判断するには、net config redirector または net config server コマンドを実行して、ネットワーク アダプターに「NetBT_Tcpip」デバイスがバインドされているかどうかを確認します。

結論

SMB（サーバー・メッセージ・ブロック）プロトコルは、さまざまなネットワーク・リソースへアクセスするための、価値があり不可欠な手段であることが証明されています。ファイル共有や接続性といった機能を可能にしてきた一方で、ネットワーク内での認可されたアクセスを確実にするためには、セキュリティ対策を講じる必要があります。ポートを適切に保護し、プロトコルを常に最新の状態に保つことは、現代のネットワーキングにおいてセキュリティ・プロファイルを高める方法の一例です。

ネットワーク セキュリティと連携して、Netwrix はデータ層でのセキュリティ計画を実現するお手伝いをします。Netwrix solutions により、組織が「誰が自社データにアクセスできるか」および「その周辺でどのような活動が行われているか」を把握できるよう支援します。監視は、攻撃を検知し、侵害から防御するための重要な要素です。

SMBポートとは何ですか？

Microsoftは、管理者がすべてのギャップを見つけることに頼るのではなく、デフォルト設定を変更して対応しました。Windows 11 バージョン24H2およびWindows Server 2025では、SMB署名が標準で必要になりました。

ファイル共有を超えて、SMBは2つの追加の通信メカニズムをサポートしています。mail slotsは一方向のプロセス間メッセージを処理し、named pipesは同じマシンまたはネットワークを介して2つのプロセスがデータを交換できるようにします。

CISAは2025年10月に、新たなSMB権限昇格の脆弱性CVE-2025-33073を既知の悪用脆弱性カタログに追加しました。そのため、ポート139とポート445は何十年も静かにバックグラウンドで動作していても、継続的な監視が必要です。

Server Message Block（SMB）は、ネットワーク上のコンピュータ間でファイルやリソースの共有を管理するネットワークプロトコルです。SMBは主にTCPポート445で動作し、接続されたデバイス間でファイル、プリンター、シリアルポートへの共有アクセスを可能にします。

Windowsシステムは1980年代からSMBに依存しており、今日でもほとんどのWindows環境でデフォルトのファイル共有プロトコルです。

ポート139とポート445：違いは何ですか？

ポート139

ポート445

ポート139は元々のSMBポートで、ローカルWindowsネットワーク上のNetBIOS上でアプリケーション層プロトコルとして動作していました。Windows 2000では代替としてポート445が導入され、ほとんどの最新環境ではポート139は段階的に廃止されています。

Server Message Block (SMB) は40年間にわたりWindowsシステム間でデータを移動させてきました。今日でも企業ネットワークで最も露出しているプロトコルの一つです。ポート445とその旧式の対応ポートであるポート139は、日常のファイルおよびプリンター共有の背後にあるトラフィックを運びます。攻撃者はそれを知っています。両ポートは露出したネットワークに対して実行されるすべてのスキャンの上位に位置しています。

なぜこれが重要なのか

ポート445はNetBIOSに依存せず、TCP/IP上で直接SMBを実行します。これにより、SMBトラフィックがインターネットを含む複数のネットワークを通過できるため、ポート445はほぼすべての現在のWindows展開で好まれる選択肢となっています。

ネットワークのどこかでポート139が開いている場合、おそらく不要なレガシーの攻撃対象領域を抱えていることになります。NetBIOSベースのトラフィックには独自の署名や暗号化の保護がなく、これがEternalBlueクラスのエクスプロイトがWannaCryのような攻撃で制御されずに拡散した理由です。

ポート445はSMB署名が有効になっている場合にのみより防御可能ですが、そうでなければCVE-2025-33073の背後にある同じリレーおよび権限昇格の手法にさらされます。

SMBは動作するために開かれたネットワークポートを必要とし、関係するWindowsのバージョンに応じてポート139またはポート445を使用します。

ネットワークの境界でポート139をブロックし、ポート445を信頼できるセグメントに制限し、SMB署名をサポートされているすべての場所で強制することで、これを防ぐことができます。そうすれば、ほとんどのSMB攻撃が依存している2つの経路を閉じたことになります。

SMBプロトコルはどのように機能しますか？

SMBはクライアントサーバーモデルに基づくリクエスト-レスポンスプロトコルとして機能し、典型的なセッションは4つのステップに従います：

1. ネゴシエーション: クライアントとサーバーがセッションで使用するSMBダイアレクトに合意します。
2. セッション設定： クライアントは資格情報を使用してサーバーに認証します。
3. ツリー接続: クライアントは、フォルダーやプリンターなどの特定の共有リソースへのアクセスを要求します。
4. ファイルアクセス： クライアントが読み取り、書き込み、または印刷のリクエストを送信し、サーバーがそれぞれに直接応答します。

このプロトコルはその後、いくつかの主要な改訂を経て成熟しました。これにはCommon Internet File System (CIFS) 方言や、SMB2およびSMB3のパフォーマンスとセキュリティの改善が含まれます。

各リビジョンは前のバージョンの特定の弱点に対処し、SMB3は現在のWindowsバージョンがデフォルトで依存している暗号化機能を導入しました。

この同じネゴシエーションおよびリクエスト-レスポンスの仕組みは、標準のファイルおよびプリンタ共有に加えて、メールスロットおよびネームドパイプ通信もサポートしています。IBMは1983年にローカルネットワーク上のDOSファイルアクセス用にSMBを設計しました。Microsoftは1990年にこのプロトコルをLAN Manager製品と統合しました。

SMBプロトコルの方言

SMBの実装は環境によって異なり、さまざまなプラットフォームやユースケースをサポートするためにいくつかの方言が登場しています。

• Samba: LinuxおよびUnixシステムがSMBを介してWindowsデバイスと通信できるオープンソースの方言です。
• CIFS (Common Internet File System): Windows 95で導入されたMicrosoftの方言で、クライアントがリモートのファイルおよびプリンタ共有にローカルリソースのように接続できるようにします。
• Tuxera SMB と MoSMB: 組み込みシステムや高度な認証を伴うエンタープライズファイル共有など、特定のユースケース向けに構築された独自実装です。

これらの方言は同じ基盤となるSMBアーキテクチャを共有しており、Windows、Linux、組み込み環境を混在させている組織は複数を利用することが多いです。

• NQ: Visuality SystemsによるポータブルなSMB実装で、プリンターやネットワークデバイスなどの非Windowsデバイスで一般的に見られます。

オープンなSMBポートのセキュリティリスク

ケーススタディ：WannaCry（2017）

SMBポートは正当なファイルおよび印刷トラフィックを運び、開いているポートは攻撃者が積極的に探査する経路も作ります。露出または誤設定されたSMBポートは、過去10年間で最も破壊的なネットワークワームや権限昇格のエクスプロイトを可能にしており、新たな脆弱性も引き続き発見されています。

CVE-2025-33073: Windows SMB クライアントの権限昇格

管理されていないまま放置されたオープンなSMBポートは、ネットワークをワームの拡散、中間者攻撃、NetBIOSのなりすましにさらします。これらのリスクは、過去のPatch Tuesdayサイクルで公開されたSMBv3の脆弱性 と並んで存在し、このパターンからSMBは継続的なパッチ管理を常時の実践として必要とすることが明らかです。

WannaCry (2017) は、未修正のSMB脆弱性が何を引き起こすかの最も明確な歴史的例です。このランサムウェアは、TCPポート445を介したEternalBlueエクスプロイトを利用して古いバージョンのSMBv1の欠陥を悪用し、ターゲットマシンにインストールされ、ファイルを暗号化し、身代金を要求しました。

CVE-2025-37899: Linux ksmbd ゼロデイ

感染したシステムはSMB経由でネットワークをスキャンし、他の脆弱なマシンを探して自己拡散しました。ユーザーの操作は不要でした。被害はパッチ未適用の古いSMBバージョンを実行しているシステムに直接起因します。だからこそ、どのようなランサムウェア対策戦略でも、SMBのバージョンとパッチ管理を基本的なコントロールとして扱うべきです。

Microsoftは2025年6月にCVE-2025-33073を公開しました。Windows SMBクライアントの不適切なアクセス制御の欠陥により、認証された攻撃者が署名が強制されていない場合にSMBがNTLM認証を処理する方法を悪用してSYSTEM権限を昇格させることができます。

ポート139とポート445を保護する方法

LinuxベースのSMB実装は、攻撃者がSMBのターゲットを単一のオペレーティングシステムに限定しないため、Windowsシステムと同じパッチの規律が必要です。

この脆弱性のCVSSスコアは8.8で、CISAはこれを 2025年10月に既知の悪用された脆弱性カタログに追加しました。アクティブな悪用が確認された後のことです。この欠陥は現在サポートされているWindows 10、Windows 11、およびWindows Serverのバージョンに影響を与えるため、SMB署名の強制はオプションの強化ステップではなく優先事項となります。

ファイアウォールとエンドポイント保護を有効にする

CVE-2025-37899 はLinuxカーネルに組み込まれたカーネル内SMB3サーバーであるksmbdに影響します。この欠陥はksmbdがSMB2 LOGOFFコマンドを処理する方法におけるuse-after-freeの脆弱性であり、Sambaやksmbdの展開を含むWindowsとLinuxの混在ファイル共有環境を運用する組織にとって重要です。

VPNを利用する

不要なSMBの露出を閉じ、開いているポートを強化するには、ネットワーク制御と設定変更の組み合わせが必要です。これはより広範なネットワークセキュリティプログラムの一部であり、単独では成り立ちません。

VLANを作成

ファイアウォールまたはエンドポイント保護プラットフォームは、認識されていない、または既知の悪意のあるIPアドレスからの接続試行をSMBサービスに到達する前にブロックします。ほとんどのエンドポイント保護プラットフォームは、新しい悪意のあるインフラストラクチャが特定されると自動的に更新されるブロックリストも維持しています。

VPNは、転送中のSMBトラフィックを暗号化し、ネットワーク経路上に位置する攻撃者がシステム間のファイル共有トラフィックを読み取ったり改ざんしたりするのを防ぎます。

内部トラフィックをVLANに分割することで、攻撃者が単一のデバイスを侵害した後に移動できる範囲が制限されます。SMBトラフィックは割り当てられたネットワークセグメント内に留まるためです。

MACアドレスフィルタリングを実装する

SMB署名を強制する

MACアドレスフィルタリングは、承認されたデバイスの定義されたリストにネットワークアクセスを制限し、同じ物理ネットワークに接続していても認識されていないシステムがSMB共有にアクセスするのを防ぎます。

SMB署名は、トラフィックが転送中に改ざんされていないことを検証することでリレー攻撃や改ざんを防止し、CVE-2025-33073が依存する悪用経路を閉じます。

TCP/IPおよびSMBv1上のNetBIOSを無効にする

古いバージョンのWindowsを使用している組織は、強制アップグレードを待つのではなく、グループポリシーを通じて手動で署名を有効にする必要があります。

Windows 11 バージョン24H2およびWindows Server 2025から、MicrosoftはSMB署名をデフォルトで要求します。Windows 11 24H2のEnterprise、Pro、Educationエディションは送信および受信の署名を両方要求し、Windows Server 2025は送信署名を要求します。

ポート139およびポート445を長期間安全に保つ

ポート139とポート445が存在するのは、ファイル共有がほぼすべてのWindowsネットワークの主要な機能であり、その同じ機能がSMBを持続的なターゲットにしているためです。

古いシステムでインターフェースを通じてTCP/IP上のNetBIOSを無効にするには、ネットワークとダイヤルアップ接続を開き、アクティブな接続を右クリックしてプロパティを選択します。インターネットプロトコル（TCP/IP）を選択し、再度プロパティを選択し、高度な設定を選択してWINSタブを開き、TCP/IP上のNetBIOSを無効にします。

SMBv1はWindows 10、Windows 11、およびWindows Server 2019以降でデフォルトで無効になっています。そのまま維持されるとは限りません。必ず確認してください。PowerShellでSMBv1を無効にするには、次のコマンドを実行します：

このプロトコルはDOS時代から大きく成熟しており、Windows 11 24H2やWindows Server 2025で必須となったSMB署名などの現在のデフォルト設定は、長年放置されていたギャップを埋めています。継続的なパッチ適用、署名の強制、およびネットワークのセグメンテーションにより、ポート自体の防御性が保たれています。

不要なポートを閉じ、署名を強制することで、ネットワーク層の攻撃対象範囲を減らします。開かれたSMB共有の背後にあるデータは、ポート自体がどれだけ安全に保護されていても、フォルダの権限は時間とともに蓄積されるため、独自のアクセスレビューが必要です。PowerShell scriptはファイルシステムのACLを直接監査および調整でき、チームが手動管理に費やす時間を節約します。

ポートのセキュリティ確保は全体の半分にすぎません。SMB共有の背後にあるファイルやフォルダには、それ自体の可視性とガバナンスが必要です。権限は、付与された元のビジネス上の理由が失効した後も蓄積され続けるためです。

デモをリクエストして、Netwrixがファイル共有のアクティビティを追跡し、権限が過剰なSMB共有をフラグ付けし、監査証拠の収集を簡素化する方法をご覧ください。

SMBポートとは何ですか？

Microsoftは、管理者がすべてのギャップを見つけることに頼るのではなく、デフォルト設定を変更して対応しました。Windows 11 バージョン24H2およびWindows Server 2025では、SMB signingが標準で必要になりました。

Server Message Block（SMB）は、ネットワーク上のコンピューター間でファイルやリソースの共有を管理するネットワークプロトコルです。SMBは主にTCPポート445で動作し、接続されたデバイス間でファイル、プリンター、シリアルポートへの共有アクセスを可能にします。

CISAは2025年10月に、新たなSMB権限昇格の脆弱性CVE-2025-33073を既知の悪用脆弱性カタログに追加しました。そのため、ポート139とポート445は何十年も静かに動作していても、継続的な監視が必要です。

Server Message Block (SMB) は40年間にわたりWindowsシステム間でデータを移動させてきました。今日でも企業ネットワークで最も露出しているプロトコルの一つです。ポート445とその旧バージョンであるポート139は、日常的なファイルおよびプリンタ共有のトラフィックを運びます。攻撃者もそれを知っています。両ポートは露出したネットワークに対するスキャンの上位に位置しています。

ファイル共有を超えて、SMBは2つの追加通信メカニズムをサポートします。mail slotsは一方向のプロセス間メッセージを処理し、named pipesは同じマシンまたはネットワークを介して2つのプロセスがデータを交換できるようにします。

ポート139

ポート139とポート445：違いは何ですか？

Windows システムは1980年代から SMB に依存しており、現在でもほとんどの Windows 環境でデフォルトのファイル共有プロトコルです。

SMBは動作するために開いたネットワークポートが必要で、関係するWindowsのバージョンに応じてポート139またはポート445を使用します。

なぜこれが重要なのか

ポート445

ポート139は元々のSMBポートで、ローカルのWindowsネットワーク上でNetBIOSのアプリケーション層プロトコルとして動作していました。Windows 2000では代替としてポート445が導入され、ほとんどの現代的な環境ではポート139は廃止されています。

ポート445はNetBIOSに依存せず、TCP/IP上で直接SMBを実行します。これにより、SMBトラフィックがインターネットを含む複数のネットワークを通過できるため、ほぼすべての現在のWindows展開でポート445が優先されます。

ネットワークのどこかでポート139が開いている場合、おそらく不要なレガシーの攻撃対象領域を抱えていることになります。NetBIOSベースのトラフィックには独自の署名や暗号化の保護がなく、これがEternalBlueクラスのエクスプロイトがWannaCryのような攻撃で制御されずに拡散した理由です。

ポート445はSMB署名が有効な場合にのみ防御可能であり、そうでなければCVE-2025-33073の背後にある同じリレーおよび権限昇格の手法にさらされます。

SMBプロトコルはどのように機能しますか？

ネットワークの境界でポート139をブロックし、ポート445を信頼できるセグメントに制限し、SMB署名をサポートされているすべての場所で強制することで、これを防ぐことができます。これにより、ほとんどのSMB攻撃が依存している2つの経路を閉じることができます。

SMBはクライアントサーバーモデルに基づくリクエスト-レスポンスプロトコルとして動作し、典型的なセッションは4つのステップで進行します。

1. ネゴシエーション: クライアントとサーバーがセッションで使用するSMB方言に合意します。
2. セッション設定： クライアントは資格情報を使ってサーバーに認証します。
3. ツリー接続： クライアントはフォルダやプリンターなどの特定の共有リソースへのアクセスを要求します。
4. ファイルアクセス: クライアントが読み取り、書き込み、または印刷のリクエストを送信し、サーバーがそれぞれに直接応答します。

このプロトコルはそれ以来、いくつかの主要な改訂を経て成熟しました。これにはCommon Internet File System (CIFS) 方言や、SMB2およびSMB3のパフォーマンスとセキュリティの改善が含まれます。

各リビジョンは前のバージョンの特定の弱点に対処し、SMB3は現在のWindowsバージョンがデフォルトで依存する暗号化機能を導入しました。

この同じネゴシエーションおよびリクエスト-レスポンスの仕組みは、標準のファイルおよびプリンター共有に加えて、メールスロットおよびnamed pipe通信をサポートします。IBMは1983年にローカルネットワーク上のDOSファイルアクセス用にSMBを設計しました。Microsoftは1990年にこのプロトコルをLAN Manager製品と統合しました。

SMBプロトコルの方言

SMBの実装は環境によって異なり、さまざまなプラットフォームやユースケースをサポートするためにいくつかの方言が登場しています。

• CIFS (Common Internet File System): Windows 95で導入されたMicrosoftの方言で、クライアントがリモートのファイルおよびプリンタ共有にローカルリソースのように接続できます。
• Samba: LinuxおよびUnixシステムがSMB経由でWindowsデバイスと通信できるオープンソースの方言です。
• Tuxera SMB と MoSMB： 組み込みシステムや高度な認証を備えたエンタープライズファイル共有など、特定のユースケース向けに構築された独自実装です。

これらの方言は同じ基盤となるSMBアーキテクチャを共有しており、Windows、Linux、および組み込み環境が混在する組織は複数を利用することがよくあります。

• NQ: Visuality SystemsによるポータブルSMB実装で、プリンターやnetwork devicesなどの非Windowsデバイスで一般的に見られます。

開放された SMB ポートのセキュリティリスク

ケーススタディ：WannaCry（2017）

SMBポートは正当なファイルおよび印刷トラフィックを運び、開いているポートは攻撃者が積極的に探査する経路も作ります。露出または誤設定されたSMBポートは過去10年間で最も破壊的なネットワークワームや権限昇格のエクスプロイトを可能にし、新たな脆弱性も次々と明らかになっています。

CVE-2025-33073: Windows SMB クライアントの権限昇格

管理されていないままのオープンなSMBポートは、ワームの拡散、中間者攻撃、NetBIOSのなりすましにネットワークをさらします。これらのリスクは、以前に公開されたSMBv3の脆弱性と並び、SMBは継続的なパッチ管理を常時行う必要があることを明確に示しています。

WannaCry (2017) は、未修正のSMB脆弱性がもたらす最も明確な歴史的事例です。このランサムウェアは、TCPポート445を介したEternalBlueエクスプロイトを利用し、古いバージョンのSMBv1の欠陥を突いて標的のマシンにインストールされ、ファイルを暗号化し、身代金を要求しました。

Microsoftは2025年6月にCVE-2025-33073を公開しました。Windows SMBクライアントの不適切なアクセス制御の脆弱性により、認証済み攻撃者が署名が強制されていない場合にSMBがNTLM認証を処理する方法を悪用してSYSTEM権限を昇格させることが可能です。

感染したシステムはSMBを介してネットワークをスキャンし、他の脆弱なマシンを探して自己拡散しました。ユーザーの操作は不要でした。被害はパッチ未適用の古いSMBバージョンを実行しているシステムに直接つながっています。だからこそ、どのようなランサムウェア対策戦略でも、SMBバージョンとパッチ管理を基本的なコントロールとして扱うべきです。

CVE-2025-37899: Linux ksmbd ゼロデイ

LinuxベースのSMB実装は、攻撃者がSMBの標的を単一のオペレーティングシステムに限定しないため、Windowsシステムと同じパッチ管理が必要です。

ポート139とポート445を保護する方法

この脆弱性のCVSSスコアは8.8で、CISAはこれを追加しました 2025年10月にアクティブな悪用が確認された後、既知の悪用された脆弱性カタログに登録しました。この欠陥は現在サポートされているWindows 10、Windows 11、およびWindows Serverのバージョンに影響を与えるため、SMB署名の強制はオプションの強化ステップではなく優先事項となります。

CVE-2025-37899はLinuxカーネルに組み込まれたカーネル内SMB3サーバーであるksmbdに影響します。この欠陥はksmbdがSMB2 LOGOFFコマンドを処理する方法におけるuse-after-freeの脆弱性であり、Sambaやksmbdの導入を含むWindowsとLinuxのファイル共有環境を混在させて運用する組織にとって重要です。

ファイアウォールとエンドポイント保護を有効にする

不要なSMBの露出を閉じ、開いているポートを強化するには、ネットワーク制御と設定変更の組み合わせが必要です。これはより広範なネットワークセキュリティプログラムの一部であり、単独では機能しません。

VLANを作成

ファイアウォールまたはEndpoint Protectionプラットフォームは、認識されていない、または既知の悪意のあるIPアドレスからの接続試行をSMBサービスに到達する前にブロックします。ほとんどのEndpoint Protectionプラットフォームは、新たに悪意のあるインフラが特定されると自動的に更新されるブロックリストも維持しています。

VPNは転送中のSMBトラフィックを暗号化し、ネットワーク経路上にいる攻撃者がシステム間のファイル共有トラフィックを読み取ったり改ざんしたりするのを防ぎます。

VPNを利用する

内部トラフィックをVLANに分割することで、単一のデバイスが侵害された後の攻撃者の移動範囲が制限されます。SMBトラフィックは割り当てられたネットワークセグメント内にとどまるためです。

MACアドレスフィルタリングを実装する

SMB署名を強制する

MACアドレスフィルタリングは、ネットワークアクセスを承認されたデバイスの定義済みリストに制限し、同じ物理ネットワークに接続していても認識されていないシステムがSMB共有にアクセスするのを防ぎます。

SMB署名は、通信が途中で改ざんされていないことを検証することでリレー攻撃や改ざんを防ぎ、CVE-2025-33073が依存する悪用経路を閉じます。

TCP/IPおよびSMBv1でNetBIOSを無効にする

古いバージョンのWindowsを使用している組織は、強制アップグレードを待つのではなく、グループポリシーを通じて手動で署名を有効にする必要があります。

Windows 11 バージョン24H2およびWindows Server 2025から、Microsoft requires SMB signingがデフォルトで必要になります。Windows 11 24H2のEnterprise、Pro、およびEducationエディションは送受信の署名が必要で、Windows Server 2025は送信の署名が必要です。

SMBv1はWindows 10、Windows 11、およびWindows Server 2019以降でデフォルトで無効になっています。そのまま維持されるとは限りません。必ず確認してください。PowerShellでSMBv1を無効にするには、次のコマンドを実行します：

ポート139およびポート445を長期間安全に保つ

古いシステムでインターフェースを通じてTCP/IP上のNetBIOSを無効にするには、ネットワークとダイヤルアップ接続を開き、アクティブな接続を右クリックしてプロパティを選択します。インターネットプロトコル（TCP/IP）を選択し、再度プロパティを選択し、高度な設定を選択してからWINSタブを選び、TCP/IP上のNetBIOSを無効にします。

ポート139とポート445は、ファイル共有がほぼすべてのWindowsネットワークの主要な機能であり、そのためSMBが持続的な標的となっているため存在します。

不要なポートを閉じて署名を強制することで、ネットワーク層の攻撃対象範囲を減らせます。開かれたSMB共有の背後にあるデータは、ポート自体のセキュリティがどれほど高くても、フォルダーの権限が時間とともに蓄積されるため、独自のアクセスレビューが必要です。PowerShell scriptはファイルシステムのACLを直接監査・調整でき、チームの手動管理にかかる時間を節約します。

このプロトコルはDOS時代から大きく成熟しており、Windows 11 24H2やWindows Server 2025で必須となったSMB署名などの現在のデフォルト設定により、長年放置されていたギャップが埋められています。継続的なパッチ適用、署名の強制、ネットワークのセグメンテーションにより、ポート自体の防御が可能です。

ポートの保護は全体の半分に過ぎません。SMB共有の背後にあるファイルやフォルダは、それ自体の可視性とガバナンスが必要です。権限は付与された元のビジネス理由が終了した後も蓄積され続けます。

デモをリクエストして、Netwrixがファイル共有のアクティビティを追跡し、権限が過剰なSMB sharesを検出し、監査証拠の収集を簡素化する方法をご覧ください。