SMBv3 の脆弱性を解説

職場環境は進化してきました。COVID-19 以前からハイブリッド勤務やリモート勤務は存在していましたが、パンデミックの最中およびその後には、こうした働き方がさらに広まりました。現在では、職場は柔軟性を提供しており、従業員が世界中どこからでも働き、会社のリソースにアクセスできるようになっています。その中心にあるのが Server Message Block (SMB) プロトコルです。しかし、この柔軟性は、従来の境界（パリミター）ベースのセキュリティモデル以上の対策が必要であるため、より大きなサイバーセキュリティ上の課題を招き入れてしまいました。

この記事では、特に SMBv3 におけるこれらのサイバーセキュリティ上の懸念を掘り下げ、特定および軽減のための実践的な対策を紹介します。

SMBv3とは？

サーバメッセージブロック（Server Message Block: SMB）とは、ネットワーク上で、アプリケーション、コンピューター、デバイスが通信し、ファイル、プリンター、シリアルポートなどのリソースを共有できるようにするネットワークプロトコルのことです。クライアント（リソースへのアクセスを要求するデバイス）とサーバー（リソースを提供するデバイス）の間の通信を、ローカルエリアネットワーク（LAN）内、またはインターネット越しに可能にします。

SMBは1980年代に誕生して以来、複数回の改良（性能とセキュリティの強化）を重ねており、SMBv3が最新のバージョンです。

SMBv3 の脆弱性

SMBv3では大幅な改善が行われているにもかかわらず、依然としていくつかのセキュリティ上の脆弱性が存在し、その中でも特に懸念されるのがリモートコード実行（Remote code execution: RCE）です。リモートコード実行（RCE）とは、脅威アクターが通常はリモートで、コンピューターまたはネットワーク上で悪意のあるコードを実行（または実行させる）できるようにするセキュリティ上の脆弱性であり、完全な制御を奪取するために悪用されます。

SMBGhost (CVE-2020-0796)

2020 年 3 月 10 日、Microsoft は SMBv3 における新たに確認された脆弱性（CVE-2020-0796）に関する情報を誤って公開しました。Microsoft はすぐにこの情報を削除しましたが、研究者はすでにそれに気づいていました。これにより、Microsoft は 正式なアドバイザリ を 2 日後（2020 年 3 月 12 日）に公開せざるを得なくなりました。

これらの出来事を受けて、セキュリティコミュニティは CVE-2020-0796 を SMBGhost と呼ぶようになりました。Microsoft によると、この脆弱性はサーバーでのリモートコード実行につながる可能性があり、深刻な脆弱性である以上、常に重大な懸念事項です。

Microsoft のアドバイザリは、悪意のある攻撃者が、対象である SMBv3 サーバーに対して特別に細工されたパケットを送信することで、この脆弱性を悪用できることを強調しています。これは SMBv1 の脆弱性 に非常によく似ています。この脆弱性の怖い点は、研究者が「ワーム化（wormable）」すると判断したことです。つまり、誰かがあなたの環境内の 1 台のマシンを悪用できてしまうと、マシンからマシンへと環境全体に広がる可能性がある、ということです。

特に影響を受けたのは、SMBv3 の最新バージョンである 3.1.1 でした。Microsoft はまた、この脆弱性がバージョン 1903 および 1909 を実行しているすべての Windows 10 と Windows Server に影響するとも記載しています。

幸いにも、この問題を回避するための潜在的な緩和策や回避策がいくつかあり、そして 2020 年 3 月 12 日時点で Microsoft は patch この脆弱性に対処するパッチをリリースしました。

CVE-2022-24508

SMBGhost から 2 年後の 2022 年 3 月 8 日に、Microsoft は SMBv3 に関連する別のセキュリティ更新プログラムをリリースしました。これは「Win32 ファイル列挙のリモートコード実行（RCE）」の脆弱性として説明されており、CVE-2022-24508 は、主に SMBv3 をサポートする Windows 10 バージョン 2004 およびそれ以降のバージョンに影響する別の RCE 脆弱性でした。

CVE-2022-24508 については SMBGhost ほど多くの情報が出ていませんが、それでも、この脆弱性の深刻度が Microsoft によって「important（重要）」として評価されている点は押さえておく価値があります。つまり、組織はこれを防ぐための対策を講じることで、必要なだけの注意を引き続き払うべきです。

SMBv3 の脆弱性がもたらすリスクと影響

SMBv3 の最も重大なセキュリティ脆弱性は RCE であるため、このセクションではこの脅威に関連するリスクを取り上げます。具体的には次のとおりです:

• 不正アクセス：RCE 攻撃の最初の影響は、悪意のある攻撃者が組織の社内ネットワークに不正にアクセスすることです。これにより、権限昇格 のような深刻な結果につながる可能性があります。権限昇格により、攻撃者はネットワーク内でより強い権限を得て、より有害な行動を実行できるようになります。
• データ侵害：データ、特に社内の会社データ（社外秘）は、組織にとって最も重要な資産の 1 つです。もしこのデータが不適切な手に渡ってしまった場合、壊滅的な影響が生じます。そのため、攻撃者が RCE 攻撃を行う主な理由の 1 つは 機密性の高い会社データを盗むことです。
• マルウェアの伝播：攻撃者がネットワーク内に侵入すると、権限昇格 を通じて、他の接続されたネットワークやデバイスに悪意のあるコードを拡散できます。
• ランサムウェア攻撃： 脅威アクターは RCE 攻撃を使用して 会社のリソースを「人質に取る」こともできます。」 このような状況では、攻撃者は影響を受けたネットワークから会社の管理者を締め出すか、重要データを暗号化し、アクセスと引き換えに支払いを要求します。
• 規制に対する不適合: データ漏えい は、データの取り扱いを規定する法律や規制（たとえば General Data Protection Regulation (GDPR) および Health Insurance Portability and Accountability Act (HIPAA)）に関して、不適合となるリスクを貴社組織に与えます。これにより、規制当局からの高額な罰金や、顧客の信頼の喪失につながる可能性があります。
• 財務上の損失： 上で述べたリスクは、それぞれ単独でも、組み合わさっても、影響を受けた組織に大きな損失をもたらし得ます。企業は、身代金の支払いから、ダウンタイムによる損失の回復、規制順守に伴う罰金の支払いに至るまで、深刻な財務上の損失を被るリスクがあります。

SMBv3 の脆弱性の予防と軽減

SMBv3 の脆弱性を防ぐための最初（そして最も明白な）ステップは、Microsoft が過去に提供してきたパッチを適用することです。これは、既知の解決策があると確認されている脆弱性を緩和するための最も効果的な方法です。

何らかの理由で、短期間でパッチを適用できない場合でも、Microsoft は脅威アクターによる悪用を防ぐための回避策を特定しています。問題は SMB 圧縮にあるため、SMB のこの機能を無効にすることで、それを悪用しようとする攻撃者から保護できます。

Set-ItemProperty -Path "HKLM: SYSTEMCurrentControlSetServicesLanmanServerParameters" DisableCompression -Type DWORD -Value 1 -Force

上記の PowerShell コードは、レジストリを更新し、SMB サーバーで圧縮機能を無効にします。これは SMB クライアントは保護しません。クライアントを更新するために必要なコードは以下です。

Set-ItemProperty -Path "HKLM: SYSTEMCurrentControlSetServicesLanmanServerParameters" DisableCompression -Type DWORD -Value 0 -Force

幸いなことに、これらの登録内容の更新はいずれも、有効化のために再起動は必要ありません。

気になるかもしれないのは、SMB 圧縮をオフにした場合にどのような影響があるのかという点です。Microsoft は advisory の中で、SMB 圧縮はまだ Windows や Windows Server では使用されていないと述べています。負荷（パフォーマンス）に悪影響はありません。

SMBv3 の脆弱性に関連するリスクを軽減するためのベストプラクティス

パッチの適用は不可欠であり、SMBv2 の脆弱性からの防御に役立ちますが、組織のネットワークを最大限に保護するためには、以下を含めていくつかのことができます。

SMB の最新バージョンを使用する

SMB の最新バージョンには、通常、ネットワークをより確実に保護するのに役立つ更新が含まれています。前述のとおり、Microsoft は SMB が最初に作成されて以来、いくつかの SMB 向け更新をリリースしています。最新バージョンは SMBv3 ですが、バージョン内でもミニアップデートが行われており、本記事執筆時点で最も新しいのは Windows 10 および Windows Server 2016 向けに構築された SMB 3.1.1 です。たとえば、このバージョンには いくつかの更新 が含まれており、以前のバージョンよりも安全になっています。たとえば：

• 暗号化
• ディレクトリ キャッシュ
• 事前認証の完全性
• ローリング クラスター アップグレード対応

ネットワークをセグメント化する

攻撃が発生した場合、脅威アクターは権限昇格を使って、接続されたネットワーク全体に影響を広げることができます。ネットワークをより小さく、互いに分離されたセグメントまたはサブネットに分割することで、攻撃の規模と範囲を抑えられます。これにより、たとえハッカーがある1つのセグメント内の脆弱性を悪用しても、それを使ってあなたのネットワーク内の別のセグメントにアクセスすることはできません。

ネットワークトラフィックの監視

パッチを適用し、セキュリティのベストプラクティスを実装していても、ネットワーク内で不審または異常な挙動や、既知の攻撃シグネチャがないか常に監視する必要があります。そうするために、次の戦略を実装できます:

• 正常なネットワーク挙動のベースラインを確立し、この基準からの逸脱はすべて潜在的な脅威としてフラグ（警告）を立てます。
• 侵入検知システム（Intrusion Detection Systems：IDS）と侵入防止システム（Intrusion Prevention Systems：IPS）を活用する
• ネットワークトラフィック分析ツールを使用する
• エンドポイントのテレメトリデータと行動パターンを分析する
• ネットワーク機器でログ記録を有効にする

ファイアウォールを構成する

ファイアウォールは、ネットワークの整合性を保護するうえで非常に役立ちます。ファイアウォールは「拒否(deny)」ポリシーを適用することで動作し、ファイアウォールの設定で「許可(allowed)」に分類されていないすべての入方向および出方向の通信をネットワークがブロックします。たとえば、ファイアウォールを設定して SMB トラフィックを特定の IP アドレスやサブネットに制限すれば、リモート実行攻撃による未授权アクセスの防止に役立ちます。

Netwrix がどのように支援できるか

SMB の脆弱性はこれまで存在してきましたし、今後も存在し続けます。しかし、それが現実であることは、「そのまま受け入れて何もしないでいるべきだ」という意味ではありません。セキュリティ脆弱性とそれに関連するリスクから、組織のネットワークを守るために、先回りした対策を取ることができ、また取るべきです。

幸いなことに、Netwrix が役に立ちます。私たちは Identity Threat Detection and Response (ITDR) solutions を提供し、安心感を得られるようにします。Netwrix の ITDR ソリューションは、リアルタイムのアラートを通じて潜在的な脅威を特定するのを支援します。特定した後は、事前に設定されたプレイブックによって、その脅威を迅速かつ自動的に無効化することを支援します。最後に、Netwrix はネットワークを攻撃前の状態に復元することで、迅速な復旧プロセスを可能にします。

SMBv3 の脆弱性を防ぐための先回りのソリューションが必要ですか？ 今すぐお問い合わせください どのようにお手伝いできるかをご確認ください。