【テクニカル・上級編】ポート445(SMBv1/SMBv2/SMBv3)を通じたランサムウェアの拡散メカニズム – サイバーセキュリティとプライバシー保護実践ガイド

悪魔は445番ポートで微睡む：SMBプロトコルの深淵とラテラルムーブメントの解剖学

ネットワークエンジニアにとって、445/tcpという数字は、ある種の「パンドラの箱」のような響きを持っているはずだ。かつてWannaCryが世界を震撼させた際、我々が目撃したのは単なるマルウェアの侵入ではない。OSの深部、カーネルレベルで動作するsrv.sysの脆弱性を突き、ネットワーク内をワームのように自己増殖する、まさに「生きた脅威」の奔流だった。

今日は、このレガシーかつ強力なSMBプロトコルが、なぜ現代のゼロトラスト環境においてもなお最大の弱点となり得るのか、そのパケットレベルの挙動と防衛戦略を、泥臭い現場の視点から紐解いていこう。

—

SMBのラテラルムーブメント：パケットが語る「侵略」のログ

SMB（Server Message Block）は、本来、ファイル共有やプリンタ共有といったWindowsネットワークの「血液」だ。しかし、攻撃者にとってこれは「組織全体を移動するための高速道路」に他ならない。

WannaCryが利用した EternalBlue (MS17-010) の挙動を振り返ると、その狡猾さが浮き彫りになる。攻撃者は、まず標的の 445 ポートに対し、巧妙に細工された SMBv1 の Session Setup Request を送り込む。ここで特筆すべきは、パケットの FID（File ID）や MID（Multiplex ID）を操作し、カーネルスタックのバッファオーバーフローを誘発させる点だ。

この攻撃が厄介なのは、一度侵入に成功すれば、そのホストが次の攻撃起点（スキャンノード）へ即座に変貌するという点にある。内部ネットワーク内では、境界防御のファイアウォールを無視して、次々とパケットが TCP 3-way handshake を完了させ、隣接するPCの SMB サービスを叩き始める。この「ラテラルムーブメント（横展開）」を止めるには、もはや境界防御だけでは力不足だ。

—

ネットワーク層のチューニングと「見えない壁」の構築

パフォーマンスを追求するインフラエンジニアであれば、TCP ウィンドウサイズの最適化や RTT（Round Trip Time）の削減は日常茶飯事だろう。しかし、セキュリティの観点では「いかにパケットを通さないか」が最大のパフォーマンス向上に繋がる。

1. SMBv1の完全な墓場送り

現代において SMBv1 を有効にしていることは、鍵のかかっていない玄関を放置しているに等しい。以下のコマンドで、組織内の全Windows端末から SMBv1 を根絶やしにすべきだ。

# SMBv1サーバー機能を無効化（管理者権限で実行）
Set-SmbServerConfiguration -EnableSMB1Protocol $false

# サーバー側でSMBv1が動いていないか確認
Get-SmbServerConfiguration | Select-Object EnableSMB1Protocol

2. マイクロセグメンテーションによる「445」の封鎖

ゼロトラストの原則において、ネットワークセグメント間の 445 ポートは「デフォルトで拒否」が鉄則だ。もし業務上どうしても必要な場合でも、VLAN間ルーティングにおいて ACL（Access Control List）を厳密に適用し、特定の管理端末からのみ通信を許可する設計に落とし込む。

以下は、Linuxの iptables を用いた、SMB通信を特定のIPレンジ以外から遮断する例だ。

# 信頼された管理セグメント(192.168.10.0/24)以外からの445ポートへのアクセスを拒否
iptables -A INPUT -p tcp --dport 445 -s 192.168.10.0/24 -j ACCEPT
iptables -A INPUT -p tcp --dport 445 -j DROP

# ログを記録し、攻撃の兆候を監視する
iptables -A INPUT -p tcp --dport 445 -j LOG --log-prefix "SMB_ATTEMPT_DENIED: "

—

パフォーマンスとセキュリティの二律背反を越えて

「セキュリティを厳しくすると、プロトコルのオーバーヘッドが増えて遅くなるのではないか？」という懸念を持つ諸君もいるだろう。しかし、現代のSMBは SMBv3.x に進化し、Encryption や Compression が標準搭載されている。

特に SMBv3 の暗号化（AES-128-CCM/GCM）は、CPUの AES-NI 命令セットを活用することで、オーバーヘッドを最小限に抑えつつ通信の機密性を確保できる。

パフォーマンスチューニングの指針

TCPバッファの最適化: 内部通信の RTT が大きい場合、tcp_rmem や tcp_wmem を調整し、パイプライン処理の効率を上げることで、暗号化による遅延を相殺する。
SMB直接接続（SMB Direct）: RDMA（Remote Direct Memory Access）対応のNICを使用することで、CPUを介さずにメモリからメモリへ転送を行う。これにより、セキュリティスタックを通過させても遅延を極限まで抑えることが可能だ。

—

結論：ネットワークスペシャリストがとるべき姿勢

WannaCryのような脅威は、技術的な脆弱性だけでなく、我々の「設定の甘さ」という脆弱性を突いてくる。445 ポートを監視し、SMB のプロトコルバージョンを強制し、ネットワークを細分化する。これらは地味な作業だが、パケットの挙動を深く理解している者だけが到達できる、「鉄壁の防御」の第一歩だ。

ネットワークは生き物だ。一度構築して終わりではない。常にパケットキャプチャをとり、異常な振る舞いを検出し、カーネルのログを読み解く。その泥臭い積み重ねこそが、最高レベルのセキュリティを支える唯一の道であることを忘れないでほしい。

さて、諸君のネットワークには、今この瞬間、許可されていない 445 のパケットは流れていないだろうか？ログを確認するなら、今すぐだ。