【実務・中級編】 SMBv1/SMBv2プロトコル（ポート445）におけるEternalBlue（CVE-2017-0144）を用いたワーム型感染 – サイバーセキュリティとプライバシー保護実践ガイド

ネットワークの「悪魔」を飼い慣らす：EternalBlueが突きつけた、境界防御の限界とゼロトラストの真実

こんにちは。ネットワークの深淵を覗き続けて幾星霜、今日もパケットの断末魔を聞きながらキーボードを叩いているシニアエンジニアです。

今回は、セキュリティの歴史において最も「美しく、かつ残虐な」コードの一つである EternalBlue（CVE-2017-0144）について掘り下げます。なぜこの脆弱性が世界中のインフラを焼き尽くしたのか。その裏側にあるプロトコルの挙動と、今我々が取るべき防衛策について、現場の視点から紐解いていきましょう。

1. EternalBlueの正体：SMBの脆弱性が招く「自動拡散」の恐怖

EternalBlue は、Windowsの SMBv1（Server Message Block）プロトコルにおけるバッファオーバーフローの脆弱性を突いたエクスプロイトです。

本来、SMB はファイル共有やプリンタ共有を行うための実直なプロトコルですが、この脆弱性は SMB パケット内の「非ページプール」のメモリ管理ミスを突きます。攻撃者は細工したパケットを送り込むことで、標的のカーネルメモリ上で任意のコードを実行させることに成功します。

恐ろしいのは、これが「人間によるクリック」を必要としない点です。ポート 445 が開いてさえいれば、ワームとして勝手に隣のホストへ拡散する。WannaCryがなぜあれほど速く広がったのか、その理由はネットワークの「信頼」を逆手に取ったこの自動化プロセスにありました。

2. 通信の解剖：何がパケットの中で起きているのか

攻撃が成立する際、パケットレベルでは以下のようなシーケンスが展開されます。

1. Negotiate Protocol: 攻撃者は「どのバージョンのSMBで話そうか？」と問いかけます。ここで脆弱な SMBv1 が合意されると、運の尽きです。
2. Setup AndX Request: 認証プロセスを強引にスキップ、あるいは異常なパケットを流し込みます。
3. Exploit Payload: ここでバッファオーバーフローを誘発する特殊な構造体を含む SMB_COM_TRANSACTION2 パケットを送り込みます。

この時、SMB のヘッダーにある FID（File ID）や Offset の値を細工することで、本来書き込んではならないカーネルメモリ領域を破壊します。これが、カーネル権限でのシェルコード実行へと繋がるわけです。

3. 実践的な防御：まずは「塞ぐ」ことから始める

現場で真っ先に行うべきは、レガシープロトコルの廃止です。特に SMBv1 は百害あって一利なし。Windows Serverやクライアントの設定で、確実に無効化しましょう。

PowerShellによる無効化の確認（現場の定石）

管理者権限で以下のコマンドを叩き、現在のステータスを確認してください。

# SMBv1の稼働状況を確認する
Get-WindowsOptionalFeature -Online -FeatureName SMB1Protocol

# もしEnabledになっていれば、即座に無効化する
Disable-WindowsOptionalFeature -Online -FeatureName SMB1Protocol

ファイアウォールでのポート445制限

境界防御の基本ですが、社内ネットワークであってもセグメント間の 445 ポートは「必要なサーバー以外は通信遮断（Deny）」が鉄則です。

# Linuxのiptablesで特定の管理セグメント以外からのSMBアクセスを遮断する例
# 192.168.10.0/24（管理用）以外の全パケットをポート445で拒否
iptables -A INPUT -p tcp --dport 445 -s 192.168.10.0/24 -j ACCEPT
iptables -A INPUT -p tcp --dport 445 -j DROP

4. ゼロトラストの視点：境界防御は「最後の砦」に過ぎない

EternalBlue のような攻撃を経験して我々が学んだのは、「境界の内側は安全だ」という性善説の崩壊です。

今日、Web API開発やクラウド運用に携わる皆さんが意識すべきは、「ネットワークが侵害されることを前提とした設計」です。

マイクロセグメンテーション: サーバー間通信を最小限に絞り、たとえ1台が感染しても、隣接するホストへ横展開（Lateral Movement）させない構成。
EDR（Endpoint Detection and Response）の導入: ネットワーク上の遮断だけでなく、プロセスの不審な挙動（例：lsass.exe への不審なメモリアクセス）を検知してプロセスを殺す。

5. まとめ：エンジニアとして持つべき「疑いの目」

SMB のような便利なプロトコルは、往々にして「暗黙の信頼」の上に成り立っています。しかし、その信頼が攻撃者にとっては最大の「付け入る隙」となります。

もし皆さんがAPIサーバーを運用しているなら、自分のサーバーが 445 ポートをリッスンしていないか、不要なサービスが動いていないか、今すぐ nmap で確認してみてください。

# 自分のサーバーのポートスキャンで脆弱な穴がないか確認
nmap -p 445 --script smb-vuln-ms17-010 <ターゲットIP>

ネットワークエンジニアの仕事は、パケットを流すことではなく、「流すべきでないパケットを、いかにエレガントに止めるか」にあります。技術の進化とともに脅威も進化しますが、論理的な防御の構築を怠らなければ、必ず防ぐことは可能です。

現場からは以上です。明日も安全なネットワークライフを！