SMB 포트 보안 가이드: 포트 139 및 포트 445 설명

조직에서는 인프라 전반의 통신 요구를 해결하기 위해 다양한 솔루션을 점점 더 많이 사용하고 있습니다. 파일 시스템은 협업의 핵심 요소이므로, 이 글에서는 많은 시스템에 필수적으로 사용되는 가장 널리 쓰이는 프로토콜 중 하나를 자세히 살펴봅니다. SMB 프로토콜, 포트 139, 포트 445가 어떻게 작동하는지, 관련된 위험은 무엇인지, 그리고 더 안전한 통신 채널을 제공하기 위한 대응(복구) 단계까지 알아보겠습니다.

SMB 포트란?

SMB (Server Message Block) 포트는 컴퓨터 네트워크에서 파일과 리소스를 공유하는 데 주로 사용되는 네트워크 포트입니다. SMB는 TCP 포트 445를 통해 동작하며, 네트워크에 있는 장치 간에 파일, 프린터 및 직렬 포트에 대한 공유 액세스를 가능하게 합니다.

또한 리소스 공유라는 핵심 기능 덕분에 SMB는 다음과 같은 용도에 활용될 수 있습니다.

• 메일 슬롯을 포함함(프로세스 간 통신 메커니즘)
• 명명된 파이프(프로세스가 동일한 컴퓨터 내에서 또는 네트워크를 통해 통신하는 방법).

포트 139와 포트 445는 무엇인가요?

SMB 프로토콜이 올바르게 동작하려면 다른 시스템과 통신하기 위한 네트워크 포트가 필요합니다. SMB는 열린 포트로 포트 139 또는 포트 445 중 하나가 필요합니다.

포트 139

원래 SMB는 같은 네트워크에서 Windows 컴퓨터끼리 서로 통신하기 위한 애플리케이션 계층 프로토콜로 포트 139에서 실행되었습니다. 이는 TCP/IP를 통한 NetBIOS에서 실행되었으며, 현대 환경에서는 포트 445로 대체되어 사용됩니다.

포트 445

포트 445는 SMB의 최신 버전에서 사용되는데, Windows 2000이 이를 채택해 직접 TCP/IP 통신에 활용하기 시작했습니다. 일반적으로 포트 139보다 선호되며, 인터넷 기반 파일 공유 같은 용도로 서로 다른 네트워크 간 통신도 가능하게 해줍니다.

SMB 프로토콜은 어떻게 동작하나요?

클라이언트-서버 통신

SMB는 요청-응답(response-request) 프로토콜로 알려져 있습니다. 클라이언트-서버 관계라는 방식으로 동작하는데, 클라이언트가 특정 요청을 보내면 서버가 요청대로 응답합니다. 오늘날 실제로는 파일 리소스를 요청하거나 프린터를 공유해야 하는 상황 같은 예가 있습니다. 또한 SMB는 메일 슬롯이나 네임드 파이프(named pipe) 상황 등 다른 용도에도 사용됩니다.

역사적 발전

역사적으로 SMB는 IBM에서 시작되었으며, 1983년에 네트워크를 통한 DOS 파일 액세스를 위해 설계되었습니다. 1990년이 되어서야 Microsoft가 SMB 프로토콜을 자사의 LAN Manager 제품과 통합했습니다. 그 이후 SMB 프로토콜은 CIFS의 도입과 같은 사례에서 지속적으로 발전했으며, 앞서 언급한 SMB 2 및 SMB 3의 업그레이드를 통해 설명되는 효율성, 성능 및 보안의 주요 개선 사항들도 단계적으로 이루어졌습니다.

SMB 프로토콜 방언

업계 전반에서 SMB 구현이 점점 더 많이 확산되면서, 네트워크 요구 사항도 SMB에 대해 서로 다른 요구를 갖게 되었습니다. 그 결과, 다양한 환경에 대응하기 위한 서로 다른 SMB 프로토콜 방언이 등장하게 되었습니다. 필요와 사용 목적에 따라, 다양한 목적을 위해 서로 다른 방언을 구현할 수 있습니다.

SMB 방언의 변형

다음은 널리 사용되는 SMB 방언과 해당 용도 목록입니다:

• CIFS (Common Internet File System): 원격 서버를 경유하는 네트워크 연결을 위해 설계된, Microsoft가 개발한 방언(방식)으로 Windows 95에서 처음 소개되었습니다. 이 방언(CIFS Port)은 클라이언트가 로컬에서 액세스하는 것처럼 원격 파일 및 프린터 공유에 연결할 수 있게 해주었습니다.
• Samba: Samba 는 Linux/Unix 장비가 Windows 장치와 통신할 수 있도록 해주는 오픈 소스 방언(방식) (Samba port)입니다.
• NQ: 는 Visuality Systems가 개발했으며, SMB 프로토콜을 비(非)Windows 플랫폼에 제공/적용합니다. 특히 프린터와 같은 장치, 그리고 가정용 네트워크 장비에서 널리 사용됩니다.
• Tuxera SMB and MoSMB: 또한 방언은 기업용 파일 공유 및 고급 인증과 같은 특정 기능을 위해 SMB 프로토콜을 사용하는 독자적인(전용) 방식으로도 만들어졌습니다.

열려 있는 SMB 포트와 관련된 보안 위험

SMB 프로토콜에 사용되는 것과 같은 포트는 서로 다른 네트워크 안팎에서 통신하는 데 필요합니다. 해당 포트의 사용 자체는 위험하지 않지만, 열린 포트는 악의적인 목적을 위해 사용되고 악용될 수 있습니다.

포트를 과도하게 노출하면 다음과 같은 취약점으로 이어질 수 있습니다.

• 웜이 전파될 수 있는 포트
• 중간자 공격(Man-In-The-Middle attacks),
• NetBIOS 스푸핑,

사례 연구: WannaCry 랜섬웨어:

최근에 발생한 사례는 WannaCry 랜섬웨어 공격 으로, 오래된 버전의 SMB를 실행하는 Windows 클라이언트를 표적으로 삼았습니다. 웜 감염이 대상 시스템에 설치되어 몸값을 요구하는 대가로 사용자의 파일을 암호화했습니다. 또한 감염된 시스템은 SMB v1 프로토콜을 통해 다른 시스템을 찾기 시작하고, 다른 시스템이 해당 열려 있는 포트를 사용하고 있었다면 그 머신에 랜섬웨어가 자체 설치되어 확산을 계속할 수 있었습니다.

WannaCry는 많은 기업과 네트워크에 혼란과 피해를 가져왔지만, 시스템이 최신 보안 조치로 패치되어 있었다면 그 재앙적인 결과는 훨씬 덜 치명적이었을 수 있습니다.

SMB 포트 139 및 445를 보호하기 위한 모범 사례

SMB 포트는 공격 대상이 될 수 있으므로, 다양한 공격으로부터 보호하기 위해 구현할 수 있는 몇 가지 모범 사례를 소개합니다:

방화벽 및 엔드포인트 보호 사용

이러한 네트워크 보안 장비를 활성화하면 이러한 포트를 위협으로부터 보호하는 동시에, 알려진 악성 IP 주소에 대해 블랙리스트 서비스도 제공할 수 있습니다.

VPN 활용

VPN을 활용하면 네트워크 트래픽을 암호화하여 악의적인 행위자로부터 보호할 수 있습니다.

VLAN 생성

가상 LAN(VLAN)을 생성하면 내부 트래픽을 격리하여 공격 표면을 줄이는 데 활용할 수 있습니다.

MAC 주소 필터링 적용:

이러한 필터를 사용하면 알 수 없는 시스템이 내부 네트워크에 액세스하거나 침투하는 것을 막을 수 있습니다.

시스템 구성 변경 사항 적용

다음 변경을 적용하면 SMB 공격에 대한 보안을 강화할 수 있습니다:

TCP/IP를 통한 NetBIOS 비활성화

• 시작을 선택한 다음 설정을 가리키고 네트워크 및 다이얼-up 연결을 선택합니다.
• 로컬 영역 연결을 마우스 오른쪽 단추로 클릭한 다음 속성을 선택합니다.
• 인터넷 프로토콜(TCP/IP)을 선택한 다음 속성을 선택합니다.
• 고급을 선택하세요.
• WINS 탭을 선택한 다음 TCP/IP를 통한 NetBIOS 비활성화를 선택하세요.

포트 상태를 모니터링하는 명령

Windows 컴퓨터에서 NetBIOS가 활성화되어 있는지 확인하려면 net config redirector 또는 net config server 명령을 실행하여 네트워크 어댑터에 ‘NetBT_Tcpip’ 장치가 바인딩되어 있는지 확인하세요.

결론

SMB(서버 메시지 블록) 프로토콜은 다양한 네트워크 리소스에 액세스하는 데 있어 가치 있고 필수적인 방법으로 입증되었습니다. 파일 공유와 연결성 같은 기능을 가능하게 했지만, 네트워크 내에서 승인된 사용자만 접근할 수 있도록 보안 조치를 취해야 합니다. 포트를 안전하게 구성하고 프로토콜을 최신 상태로 유지하는 것은 현대 네트워킹에서 보안 수준을 높이는 방법의 몇 가지 예입니다.

네트워크 보안과 함께, Netwrix는 데이터 계층에서의 보안 계획을 완성하도록 도와드릴 수 있습니다. Netwrix solutions를 통해 조직이 데이터에 누가 액세스하고 그 주변에서 어떤 활동이 이루어지는지 확인할 수 있도록 지원합니다. 모니터링은 공격을 탐지하고 침해로부터 보호하는 데 있어 핵심적인 요소입니다.

SMB 포트란 무엇인가요?

Microsoft는 관리자가 모든 취약점을 찾아내는 데 의존하는 대신 기본 설정을 변경하여 대응했습니다. Windows 11 버전 24H2 및 Windows Server 2025는 이제 기본적으로 SMB 서명을 요구합니다.

파일 공유를 넘어서 SMB는 두 가지 추가 통신 메커니즘을 지원합니다: 일방향 프로세스 간 메시지를 처리하는 mail slots와 동일한 컴퓨터 또는 네트워크를 통해 두 프로세스가 데이터를 교환할 수 있게 하는 named pipes입니다.

CISA는 2025년 10월에 SMB 권한 상승 취약점인 CVE-2025-33073을 알려진 악용 취약점 카탈로그에 추가했습니다. 이 때문에 포트 139와 포트 445는 수십 년간 조용히 백그라운드에서 작동했음에도 지속적인 모니터링이 필요합니다.

Server Message Block(SMB)는 네트워크 상의 컴퓨터 간 파일 및 자원 공유를 관리하는 네트워크 프로토콜입니다. SMB는 주로 TCP 포트 445를 통해 작동하며, 연결된 장치 간에 파일, 프린터 및 직렬 포트에 대한 공유 액세스를 가능하게 합니다.

Windows 시스템은 1980년대부터 SMB에 의존해 왔으며, 오늘날 대부분의 Windows 환경에서 여전히 기본 파일 공유 프로토콜입니다.

포트 139와 포트 445: 차이점은 무엇인가요?

포트 139

포트 445

포트 139는 원래 SMB 포트로, 로컬 Windows 네트워크에서 NetBIOS 위에서 애플리케이션 계층 프로토콜로 작동했습니다. Windows 2000은 이를 대체하기 위해 포트 445를 도입했으며, 대부분의 최신 환경에서는 포트 139를 점차 사용 중단했습니다.

Server Message Block(SMB)는 40년 동안 Windows 시스템 간에 데이터를 전송해왔습니다. 오늘날에도 여전히 기업 네트워크에서 가장 노출된 프로토콜 중 하나입니다. 포트 445와 그 이전 버전인 포트 139는 일상적인 파일 및 프린터 공유 트래픽을 담당합니다. 공격자들도 이를 알고 있습니다. 두 포트 모두 노출된 네트워크를 대상으로 하는 모든 스캔에서 상위에 위치합니다.

이것이 중요한 이유

포트 445는 NetBIOS 의존성 없이 TCP/IP 위에서 SMB를 직접 실행합니다. 이를 통해 SMB 트래픽이 인터넷을 포함한 여러 네트워크를 통과할 수 있어, 포트 445는 거의 모든 최신 Windows 배포에서 선호되는 선택입니다.

네트워크 어디에서든 포트 139가 열려 있다면, 아마도 필요하지 않은 레거시 공격 표면을 가지고 있는 것입니다. NetBIOS 기반 트래픽은 자체 서명이나 암호화 백스톱이 없으며, 이것이 바로 EternalBlue급 익스플로잇이 WannaCry와 같은 공격에서 통제 없이 확산될 수 있었던 이유입니다.

포트 445는 SMB 서명이 활성화된 경우에만 더 방어적이지만, 그렇지 않으면 CVE-2025-33073 뒤에 있는 동일한 중계 및 권한 상승 기법에 노출됩니다.

SMB는 작동을 위해 열린 네트워크 포트를 필요로 하며, 사용되는 포트는 Windows 버전에 따라 포트 139 또는 포트 445입니다.

네트워크 경계에서 포트 139를 차단하고, 포트 445를 신뢰할 수 있는 구간으로 제한하며, SMB 서명을 지원되는 모든 곳에서 적용하면 이를 방지할 수 있습니다. 이렇게 하면 대부분의 SMB 공격이 여전히 의존하는 두 경로를 차단한 것입니다.

SMB 프로토콜은 어떻게 작동합니까?

SMB는 클라이언트-서버 모델을 기반으로 하는 요청-응답 프로토콜로 작동하며, 일반적인 세션은 네 단계로 진행됩니다:

1. 협상: 클라이언트와 서버가 세션에 사용할 SMB 방언에 합의합니다.
2. 세션 설정: 클라이언트가 자격 증명을 사용하여 서버에 인증합니다.
3. 트리 연결: 클라이언트가 폴더나 프린터와 같은 특정 공유 리소스에 대한 액세스를 요청합니다.
4. 파일 액세스: 클라이언트가 읽기, 쓰기 또는 인쇄 요청을 보내면 서버가 각각에 직접 응답합니다.

이 프로토콜은 그 이후 여러 주요 개정을 거치며 성숙해졌습니다. 여기에는 Common Internet File System(CIFS) 방언과 SMB2 및 SMB3의 성능 및 보안 향상이 포함됩니다.

각 개정판은 이전 버전의 특정 약점을 해결했으며, SMB3는 현재 Windows 버전이 기본적으로 의존하는 암호화 기능을 도입했습니다.

이 동일한 협상 및 요청-응답 메커니즘은 표준 파일 및 프린터 공유 외에도 메일 슬롯 및 네임드 파이프 통신을 지원합니다. IBM은 1983년에 DOS 파일 액세스를 위해 SMB를 설계했으며, Microsoft는 1990년에 이 프로토콜을 LAN Manager 제품과 통합했습니다.

SMB 프로토콜 방언

SMB 구현은 환경마다 다르며, 다양한 플랫폼과 사용 사례를 지원하기 위해 여러 방언이 등장했습니다.

• Samba: Linux 및 Unix 시스템이 SMB를 통해 Windows 장치와 통신할 수 있게 하는 오픈 소스 방언입니다.
• CIFS (Common Internet File System): Windows 95와 함께 도입된 Microsoft 방언으로, 클라이언트가 원격 파일 및 프린터 공유에 로컬 리소스처럼 연결할 수 있게 합니다.
• Tuxera SMB 및 MoSMB: 임베디드 시스템 및 고급 인증을 포함한 특정 사용 사례를 위해 구축된 독점 구현입니다.

이들 방언은 동일한 기본 SMB 아키텍처를 공유하며, Windows, Linux 및 임베디드 환경이 혼합된 조직은 종종 둘 이상을 사용합니다.

• NQ: Visuality Systems의 휴대용 SMB 구현으로, 프린터 및 네트워크 장치와 같은 비 Windows 장치에서 일반적으로 발견됩니다.

열린 SMB 포트의 보안 위험

사례 연구: WannaCry (2017)

SMB 포트는 합법적인 파일 및 인쇄 트래픽을 전달하며, 열린 포트는 공격자가 적극적으로 탐색하는 경로를 만듭니다. 노출되었거나 잘못 구성된 SMB 포트는 지난 10년간 가장 피해가 큰 네트워크 웜과 권한 상승 익스플로잇을 가능하게 했으며, 새로운 취약점이 계속해서 나타나고 있습니다.

CVE-2025-33073: Windows SMB 클라이언트 권한 상승

관리되지 않은 상태로 방치된 열린 SMB 포트는 네트워크를 웜 전파, 중간자 공격, NetBIOS 스푸핑에 노출시킵니다. 이러한 위험은 과거 Patch Tuesday 사이클에서 공개된 SMBv3 취약점 과 같은 이전 결함과 함께 존재하며, 이 패턴은 SMB가 지속적인 패치 관리를 상시 관행으로 필요로 한다는 것을 명확히 보여줍니다.

WannaCry (2017)는 패치되지 않은 SMB 취약점이 무엇을 초래할 수 있는지에 대한 가장 명확한 역사적 사례로 남아 있습니다. 이 랜섬웨어는 TCP 포트 445를 통한 EternalBlue 익스플로잇을 이용해 구버전 SMBv1의 결함을 악용하여 대상 기기에 설치되고, 파일을 암호화하며 몸값을 요구했습니다.

CVE-2025-37899: Linux ksmbd 제로데이

감염된 시스템은 SMB를 통해 네트워크를 스캔하여 다른 취약한 기기를 찾아 자체 전파되었으며, 사용자 조치가 필요하지 않았습니다. 피해는 패치되지 않은 구버전 SMB를 실행하는 시스템에서 비롯되었습니다. 따라서 모든 랜섬웨어 방지 전략은 SMB 버전 및 패치 관리를 기본 제어로 간주해야 합니다.

Microsoft는 2025년 6월 CVE-2025-33073을 공개했습니다. Windows SMB 클라이언트의 부적절한 접근 제어 결함으로 인해 인증된 공격자가 서명이 강제되지 않을 때 SMB가 NTLM 인증을 처리하는 방식을 악용하여 SYSTEM 권한을 상승시킬 수 있습니다.

포트 139 및 포트 445를 보호하는 방법

Linux 기반 SMB 구현은 공격자가 SMB 대상을 단일 운영 체제로 제한하지 않기 때문에 Windows 시스템과 동일한 패치 규율이 필요합니다.

이 취약점의 CVSS 점수는 8.8이며, CISA가 이를 2025년 10월에 알려진 악용 취약점 카탈로그에 추가했으며, 활성 악용이 확인되었습니다. 이 결함은 현재 지원되는 Windows 10, Windows 11 및 Windows Server 버전에 영향을 미치므로 SMB 서명 강제 적용이 선택적 강화 단계가 아닌 우선 순위가 됩니다.

방화벽 및 엔드포인트 보호 활성화

CVE-2025-37899는 Linux 커널에 내장된 커널 내 SMB3 서버인 ksmbd에 영향을 미칩니다. 이 결함은 ksmbd가 SMB2 LOGOFF 명령을 처리하는 방식에서 발생하는 use-after-free 취약점이며, Samba 및 ksmbd 배포를 포함하여 Windows와 Linux 파일 공유 환경을 혼합하여 운영하는 모든 조직에 중요합니다.

VPN을 사용하세요

불필요한 SMB 노출을 차단하고 열린 포트를 강화하려면 네트워크 제어와 구성 변경의 조합이 필요합니다. 이는 더 광범위한 네트워크 보안 프로그램 내에 포함되며 독립적으로 존재하지 않습니다.

VLAN 생성

방화벽 또는 엔드포인트 보호 플랫폼은 SMB 서비스에 도달하기 전에 인식되지 않았거나 알려진 악성 IP 주소로부터의 연결 시도를 차단합니다. 대부분의 엔드포인트 보호 플랫폼은 새로운 악성 인프라가 식별될 때 자동으로 업데이트되는 차단 목록도 유지합니다.

VPN은 전송 중인 SMB 트래픽을 암호화하여 네트워크 경로를 따라 위치한 공격자가 시스템 간 파일 공유 트래픽을 읽거나 변조하지 못하도록 방지합니다.

내부 트래픽을 VLAN으로 분할하면 단일 장치를 침해한 후 공격자가 이동할 수 있는 범위가 제한됩니다. SMB 트래픽은 할당된 네트워크 세그먼트 내에 유지되기 때문입니다.

MAC 주소 필터링 구현

SMB 서명 적용

MAC 주소 필터링은 승인된 장치의 정의된 목록으로 네트워크 액세스를 제한하여, 동일한 물리적 네트워크에 연결되어도 인식되지 않은 시스템이 SMB 공유에 접근하지 못하도록 합니다.

SMB 서명은 트래픽이 전송 중에 변경되지 않았음을 확인하여 중계 공격과 변조를 방지하며, 이를 통해 CVE-2025-33073가 의존하는 악용 경로를 차단합니다.

TCP/IP 및 SMBv1에서 NetBIOS 비활성화

여전히 오래된 Windows 버전을 사용하는 조직은 강제 업그레이드를 기다리지 말고 그룹 정책을 통해 수동으로 서명을 활성화해야 합니다.

Windows 11 버전 24H2 및 Windows Server 2025부터 Microsoft는 기본적으로 SMB 서명을 요구합니다. Windows 11 24H2의 Enterprise, Pro 및 Education 에디션은 송수신 서명을 모두 요구하며, Windows Server 2025는 송신 서명만 요구합니다.

포트 139 및 포트 445를 지속적으로 안전하게 유지하기

포트 139와 포트 445가 존재하는 이유는 파일 공유가 거의 모든 Windows 네트워크의 핵심 기능으로 남아 있으며, 동일한 기능이 SMB를 지속적인 표적으로 만들기 때문입니다.

구형 시스템에서 인터페이스를 통해 TCP/IP 위의 NetBIOS를 비활성화하려면 네트워크 및 전화 접속을 열고 활성 연결을 마우스 오른쪽 버튼으로 클릭한 다음 속성을 선택합니다. 인터넷 프로토콜(TCP/IP)을 선택하고 다시 속성을 선택한 후 고급을 선택하고 WINS 탭에서 TCP/IP 위의 NetBIOS 비활성화를 선택합니다.

SMBv1은 Windows 10, Windows 11 및 Windows Server 2019 이후 버전에서 기본적으로 비활성화되어 제공됩니다. 계속 그렇게 유지된다고 가정하지 마십시오. 반드시 확인하세요. PowerShell을 통해 SMBv1을 비활성화하려면 다음을 실행하세요:

이 프로토콜은 DOS 시절부터 상당히 발전했으며, Windows 11 24H2와 Windows Server 2025에서 필수인 SMB 서명과 같은 현재 기본 설정은 수년간 열려 있던 취약점을 닫습니다. 지속적인 패치, 서명 강제 적용, 네트워크 분할은 포트 자체를 방어 가능하게 유지합니다.

불필요한 포트를 닫고 서명을 강제하면 네트워크 계층에서 공격 표면이 줄어듭니다. 열린 SMB 공유 뒤에 있는 데이터는 포트 자체가 얼마나 잘 보호되었는지와 상관없이 폴더 권한이 시간이 지남에 따라 누적되므로 별도의 접근 검토가 필요합니다. PowerShell script는 파일 시스템 ACL을 직접 감사하고 조정할 수 있어, 팀이 수동 관리에 소비할 시간을 절약합니다.

포트를 보호하는 것은 전체 중 절반에 불과합니다. SMB 공유 뒤에 있는 파일과 폴더는 자체적인 가시성과 거버넌스가 필요합니다. 권한은 원래 부여된 비즈니스 목적이 만료된 후에도 계속 누적되기 때문입니다.

데모 요청를 통해 Netwrix가 파일 공유 활동을 추적하고, 권한이 과도한 SMB 공유를 표시하며, 감사 증거 수집을 간소화하는 방법을 확인하세요.

SMB 포트란 무엇인가요?

Microsoft는 관리자가 모든 취약점을 찾아내는 데 의존하는 대신 기본 설정을 변경하여 대응했습니다. Windows 11 버전 24H2와 Windows Server 2025는 이제 기본적으로 SMB signing을 요구합니다.

Server Message Block(SMB)는 네트워크 상의 컴퓨터 간 파일 및 리소스 공유를 관리하는 네트워크 프로토콜입니다. SMB는 주로 TCP 포트 445를 통해 작동하며 연결된 장치 간에 파일, 프린터 및 직렬 포트에 대한 공유 액세스를 제공합니다.

CISA는 2025년 10월에 SMB 권한 상승 취약점인 CVE-2025-33073을 알려진 악용 취약점 목록에 추가했습니다. 그래서 포트 139와 포트 445는 수십 년간 조용히 작동해 왔음에도 계속해서 지속적인 모니터링이 필요합니다.

Server Message Block(SMB)는 40년 동안 Windows 시스템 간에 데이터를 전송해 왔습니다. 오늘날에도 여전히 엔터프라이즈 네트워크에서 가장 노출된 프로토콜 중 하나입니다. 포트 445와 그 이전 버전인 포트 139는 일상적인 파일 및 프린터 공유 트래픽을 처리합니다. 공격자들도 이를 알고 있습니다. 두 포트 모두 노출된 네트워크에 대한 모든 스캔에서 상위에 위치합니다.

파일 공유를 넘어 SMB는 두 가지 추가 통신 메커니즘을 지원합니다: 단방향 프로세스 간 메시지를 처리하는 mail slots와 동일한 기기 또는 네트워크를 통해 두 프로세스가 데이터를 교환할 수 있는 named pipes입니다.

포트 139

포트 139와 포트 445: 차이점은 무엇인가요?

Windows 시스템은 1980년대부터 SMB에 의존해 왔으며, 오늘날에도 대부분의 Windows 환경에서 기본 파일 공유 프로토콜로 사용되고 있습니다.

SMB는 작동을 위해 열린 네트워크 포트가 필요하며, 사용되는 포트는 Windows 버전에 따라 포트 139 또는 포트 445입니다.

이것이 중요한 이유

포트 445

포트 139는 원래 SMB 포트로, 로컬 Windows 네트워크에서 NetBIOS 위에서 애플리케이션 계층 프로토콜로 작동했습니다. Windows 2000은 이를 대체하기 위해 포트 445를 도입했으며, 대부분의 최신 환경에서는 포트 139를 포트 445로 대체했습니다.

포트 445는 NetBIOS 의존성 없이 TCP/IP 위에서 SMB를 직접 실행합니다. 이를 통해 SMB 트래픽이 인터넷을 포함한 여러 네트워크를 통과할 수 있어, 포트 445가 거의 모든 최신 Windows 배포에서 선호되는 선택이 됩니다.

네트워크 어디에서든 포트 139가 열려 있다면, 아마도 필요하지 않은 레거시 공격 표면을 유지하고 있는 것입니다. NetBIOS 기반 트래픽은 자체 서명이나 암호화 보호 기능이 없으며, 이것이 바로 EternalBlue급 익스플로잇이 WannaCry 같은 공격에서 통제 없이 확산될 수 있었던 이유입니다.

포트 445는 SMB 서명이 활성화된 경우에만 방어가 가능하며, 그렇지 않으면 CVE-2025-33073 뒤에 있는 동일한 중계 및 권한 상승 기법에 노출됩니다.

SMB 프로토콜은 어떻게 작동합니까?

네트워크 경계에서 포트 139를 차단하고, 포트 445를 신뢰할 수 있는 구간으로 제한하며, SMB 서명을 지원되는 모든 곳에서 적용하면 이를 방지할 수 있습니다. 이렇게 하면 대부분의 SMB 공격이 여전히 의존하는 두 경로를 차단한 것입니다.

SMB는 클라이언트-서버 모델을 기반으로 하는 요청-응답 프로토콜로 작동하며, 일반적인 세션은 네 단계로 진행됩니다:

1. 협상: 클라이언트와 서버가 세션에 사용할 SMB 방언에 합의합니다.
2. 세션 설정: 클라이언트가 자격 증명을 사용하여 서버에 인증합니다.
3. 트리 연결: 클라이언트가 폴더나 프린터와 같은 특정 공유 리소스에 대한 액세스를 요청합니다.
4. 파일 액세스: 클라이언트가 읽기, 쓰기 또는 인쇄 요청을 보내면 서버가 각각 직접 응답합니다.

이 프로토콜은 이후 여러 주요 개정을 거치며 발전했습니다. 여기에는 Common Internet File System (CIFS) 방언과 SMB2 및 SMB3의 성능 및 보안 개선 사항이 포함됩니다.

각 수정판은 이전 버전의 특정 약점을 해결했으며, SMB3는 현재 Windows 버전이 기본적으로 의존하는 암호화 기능을 도입했습니다.

이 동일한 협상 및 요청-응답 메커니즘은 표준 파일 및 프린터 공유 외에도 메일 슬롯 및 named pipe 통신을 지원합니다. IBM은 1983년에 로컬 네트워크에서 DOS 파일 액세스를 위해 SMB를 설계했습니다. Microsoft는 1990년에 이 프로토콜을 LAN Manager 제품과 통합했습니다.

SMB 프로토콜 방언

SMB 구현은 환경마다 다르며, 다양한 플랫폼과 사용 사례를 지원하기 위해 여러 방언이 등장했습니다.

• CIFS(Common Internet File System): Windows 95와 함께 도입된 Microsoft 방언으로, 클라이언트가 원격 파일 및 프린터 공유에 로컬 리소스처럼 연결할 수 있게 합니다.
• Samba: Linux 및 Unix 시스템이 SMB를 통해 Windows 장치와 통신할 수 있게 하는 오픈 소스 방언입니다.
• Tuxera SMB 및 MoSMB: 임베디드 시스템 및 고급 인증을 포함한 엔터프라이즈 파일 공유 등 특정 사용 사례를 위해 구축된 독점 구현체입니다.

이들 방언은 동일한 기본 SMB 아키텍처를 공유하며, Windows, Linux 및 임베디드 환경이 혼합된 조직은 종종 둘 이상을 사용합니다.

• NQ: Visuality Systems의 휴대용 SMB 구현으로, 프린터 및 network devices와 같은 비 Windows 장치에서 일반적으로 발견됩니다.

열린 SMB 포트의 보안 위험

사례 연구: WannaCry (2017)

SMB 포트는 합법적인 파일 및 인쇄 트래픽을 전달하며, 열린 포트는 공격자가 적극적으로 탐색하는 경로를 만듭니다. 노출되었거나 잘못 구성된 SMB 포트는 지난 10년간 가장 피해가 큰 네트워크 웜 및 권한 상승 공격을 가능하게 했으며, 새로운 취약점이 계속해서 발견되고 있습니다.

CVE-2025-33073: Windows SMB 클라이언트 권한 상승

관리되지 않은 상태로 방치된 열린 SMB 포트는 웜 확산, 중간자 공격, NetBIOS 스푸핑에 네트워크를 노출합니다. 이러한 위험은 이전에 공개된 SMBv3 취약점과 함께 존재하며, 이 패턴은 SMB가 지속적인 패치 관리를 상시 수행해야 함을 명확히 보여줍니다.

WannaCry (2017)는 패치되지 않은 SMB 취약점이 무엇을 초래할 수 있는지에 대한 가장 명확한 역사적 사례로 남아 있습니다. 이 랜섬웨어는 TCP 포트 445를 통한 EternalBlue 익스플로잇으로 구버전 SMBv1의 결함을 악용하여 대상 기기에 설치되고, 파일을 암호화하며 몸값을 요구했습니다.

Microsoft는 2025년 6월 CVE-2025-33073을 공개했습니다. Windows SMB 클라이언트의 부적절한 접근 제어 취약점은 인증된 공격자가 서명이 강제되지 않을 때 SMB가 NTLM 인증을 처리하는 방식을 악용하여 SYSTEM 권한을 상승시킬 수 있게 합니다.

감염된 시스템은 SMB를 통해 네트워크를 스캔하여 다른 취약한 기기를 찾아 자가 전파했으며, 사용자 조치가 필요하지 않았습니다. 피해는 패치되지 않은 구버전 SMB를 실행하는 시스템에서 비롯됩니다. 따라서 모든 랜섬웨어 방지 전략은 SMB 버전과 패치 관리를 기본 통제로 간주해야 합니다.

CVE-2025-37899: Linux ksmbd 제로데이

Linux 기반 SMB 구현은 공격자가 SMB 대상을 단일 운영 체제로 제한하지 않기 때문에 Windows 시스템과 동일한 패치 관리가 필요합니다.

포트 139 및 포트 445를 보호하는 방법

이 취약점은 CVSS 점수 8.8을 가지고 있으며, CISA가 이를 추가했습니다 2025년 10월 활성 악용이 확인된 후 알려진 악용 취약점 카탈로그에 등록했습니다. 이 결함은 현재 지원되는 Windows 10, Windows 11 및 Windows Server 버전에 영향을 미치므로 SMB 서명 적용이 선택적 강화 단계가 아닌 우선순위가 됩니다.

CVE-2025-37899는 Linux 커널에 내장된 커널 내 SMB3 서버인 ksmbd에 영향을 미칩니다. 이 결함은 ksmbd가 SMB2 LOGOFF 명령을 처리하는 방식에서 발생하는 use-after-free 취약점이며, Samba 및 ksmbd 배포를 포함한 Windows와 Linux 파일 공유 환경을 혼합하여 운영하는 모든 조직에 중요합니다.

방화벽 및 Endpoint 보호 활성화

불필요한 SMB 노출을 차단하고 열린 포트를 강화하려면 네트워크 제어와 구성 변경이 혼합되어야 합니다. 이는 더 넓은 네트워크 보안 프로그램의 일부이며 독립적으로 존재하지 않습니다.

VLAN 생성

방화벽 또는 Endpoint Protection 플랫폼은 SMB 서비스에 도달하기 전에 인식되지 않았거나 알려진 악성 IP 주소의 연결 시도를 차단합니다. 대부분의 Endpoint Protection 플랫폼은 새로운 악성 인프라가 식별될 때 자동으로 업데이트되는 차단 목록도 유지합니다.

VPN은 전송 중인 SMB 트래픽을 암호화하여 네트워크 경로에 위치한 공격자가 시스템 간 파일 공유 트래픽을 읽거나 변조하지 못하도록 합니다.

VPN 사용

내부 트래픽을 VLAN으로 분할하면 단일 장치가 침해된 후 공격자가 이동할 수 있는 범위가 제한됩니다. SMB 트래픽은 할당된 네트워크 세그먼트 내에 유지되기 때문입니다.

MAC 주소 필터링 구현

SMB 서명 적용

MAC 주소 필터링은 승인된 장치 목록으로 네트워크 접근을 제한하여, 동일한 물리적 네트워크에 연결되어 있어도 인식되지 않은 시스템이 SMB 공유에 접근하지 못하도록 합니다.

SMB 서명은 트래픽이 전송 중 변경되지 않았음을 확인하여 중계 공격과 변조를 방지하며, 이를 통해 CVE-2025-33073이 의존하는 공격 경로를 차단합니다.

TCP/IP 및 SMBv1에서 NetBIOS 비활성화

구버전 Windows를 사용하는 조직은 강제 업그레이드를 기다리지 말고 그룹 정책을 통해 서명을 수동으로 활성화해야 합니다.

Windows 11 버전 24H2 및 Windows Server 2025부터 Microsoft requires SMB signing이 기본값으로 적용됩니다. Windows 11 24H2 Enterprise, Pro 및 Education 에디션은 송수신 서명을 모두 요구하며, Windows Server 2025는 송신 서명을 요구합니다.

SMBv1은 Windows 10, Windows 11 및 Windows Server 2019 이상에서 기본적으로 비활성화되어 있습니다. 계속 그렇게 유지된다고 가정하지 마십시오. 반드시 확인하세요. PowerShell을 통해 SMBv1을 비활성화하려면 다음을 실행하세요:

포트 139 및 포트 445를 지속적으로 안전하게 유지하기

구형 시스템에서 인터페이스를 통해 TCP/IP 위의 NetBIOS를 비활성화하려면 네트워크 및 다이얼업 연결을 열고 활성 연결을 마우스 오른쪽 버튼으로 클릭한 다음 속성을 선택하세요. 인터넷 프로토콜(TCP/IP)을 선택하고 다시 속성을 선택한 후 고급을 선택하고 WINS 탭에서 TCP/IP 위의 NetBIOS 비활성화를 선택하세요.

포트 139와 포트 445는 파일 공유가 거의 모든 Windows 네트워크의 핵심 기능으로 남아 있기 때문에 존재하며, 이 기능 때문에 SMB가 지속적인 표적이 됩니다.

불필요한 포트를 닫고 서명을 강제하면 네트워크 계층의 공격 표면이 줄어듭니다. 열린 SMB 공유 뒤의 데이터는 포트 자체가 얼마나 잘 보호되었든 상관없이 폴더 권한이 시간이 지남에 따라 누적되므로 별도의 접근 검토가 필요합니다. PowerShell script는 파일 시스템 ACL을 직접 감사하고 조정하여 팀이 수동 관리에 소요하는 시간을 절약할 수 있습니다.

이 프로토콜은 DOS 시절부터 크게 발전했으며, Windows 11 24H2와 Windows Server 2025에서 필수인 SMB 서명과 같은 현재 기본 설정은 수년간 열려 있던 취약점을 닫았습니다. 꾸준한 패치, 서명 강제 적용, 네트워크 분할로 포트 자체를 방어할 수 있게 유지합니다.

포트를 보호하는 것은 전체 그림의 절반에 불과합니다. SMB 공유 뒤에 있는 파일과 폴더는 자체적인 가시성과 거버넌스가 필요합니다. 권한은 원래 부여된 비즈니스 이유가 만료된 후에도 계속 누적되기 때문입니다.

데모 요청하여 Netwrix가 파일 공유 활동을 추적하고, 권한이 과도한 SMB shares를 표시하며, 감사 증거 수집을 간소화하는 방법을 확인하세요.