はじめに
SMBプロトコルにおけるサイバーセキュリティ対策の進化は、SMBクライアントの暗号化に関する最新の変更により、重要なマイルストーンに到達しました。この更新により、サーバーに接続するクライアントに暗号化が義務付けられ、データ転送中の安全性が確保され、不正アクセスやデータ改ざんのリスクが軽減されます。
SMBクライアント暗号化の重要性
暗号化は現代のセキュリティの要です。復号鍵がないとアクセスできない形式にデータを変換することで、暗号化は機密情報の盗聴を防ぎます。Windows 8とWindows Server 2012のSMB 3.0で導入されて以来、暗号化はますます複雑化するネットワーク環境における安全な通信への高まる要求に応えるために進化してきました。
この新たな変更により、SMBクライアントはサーバーに接続する際に暗号化を実施する必要があり、暗号化がオプションであった以前のバージョンとは異なり、特に信頼されていないネットワークを通過する際に、機密データが常に保護されるようになりました。
SMBクライアントの暗号化と、それがどのように組織のセキュリティ体制を強化するか、詳細は以下のビデオチュートリアルをご覧ください。
SMB暗号化の進化
この変更の重要性を理解するためには、SMBの各バージョンにおける暗号化サポートの変遷を確認することが役に立ちます：
| Windowsバージョン | SMBバージョン | 暗号化サポート | 暗号化アルゴリズム | 導入年 |
|---|---|---|---|---|
|
Windows 8 / Server 2012 |
SMB 3.0 |
暗号化を導入（オプション） |
AES-128-CCM |
2012 |
|
Windows 8.1 / Server 2012 R2 |
SMB 3.0.2 |
強化された暗号化に対応 |
AES-128-CCM |
2013 |
|
Windows 10 / Server 2016 |
SMB 3.1.1 |
より強力なアルゴリズムによる暗号化の強化 |
AES-128-GCM |
2015 |
|
Windows 11 / Server 2022 |
SMB 3.1.1 |
暗号化アルゴリズムの追加、より安全なデフォルト設定 |
AES-256-GCM、AES-256-CCM |
2021 |
|
Windows 11 / Server 2025 |
上記のすべてのバージョン |
クライアントの暗号化義務化に対応 |
上記のすべてのアルゴリズム |
2024 |
この年表は、新たなセキュリティ脅威に対処するためにより強力なアルゴリズムが導入され、暗号化が長年にわたって成熟してきたことを表しています。最新のSMB 3.1.1の実装は、AES-256-GCMとAES-256-CCMをAES-128のバリアントとともに提供することで、このコミットメントを明確化しています。
変更前：暗号化はオプション設定
システム管理者は、以前はSMB暗号化を共有ごと、ファイルサーバー全体、またはドライブのマッピング時に柔軟に設定することができました。また、UNC (Universal Naming Convention)ハードニングを使用して暗号化を適用することもできました。これによってきめ細かな制御が可能になる反面、一貫性の欠如や潜在的なセキュリティギャップが生じる可能性がありました。クライアント暗号化を強制する機能がないため、機密データが転送中に常に保護されるとは限らず、システムは傍受や改ざんに脆弱なままでした。
変更後：クライアント暗号化を義務化
最新のアップデートにより、SMBクライアントの暗号化が特定のシナリオで必須となりました。システム管理者は、すべてのアウトバウンド接続に対して暗号化を強制できるようになり、クライアントから送信されるデータが常に保護されるようになりました。この変更は、特に機密情報が危険にさらされている環境でのセキュリティ強化に対するMicrosoftの継続的なコミットメントに沿ったものです。
暗号化を義務付けることで、組織は以下のことが可能になります：
- 暗号化されていない通信に絡む脆弱性を排除
- 厳格なセキュリティ規制への確実な準拠
- 一貫した暗号化ポリシーの適用によるセキュリティ管理の簡素化
暗号化管理に便利なPowerShellコマンド
システム管理者は、PowerShell コマンドを使用して、クライアントの暗号化を設定および実行できます。たとえば、次のコマンドでは、クライアントの暗号化が必須となっているかを確認できます：
\> Get-SmbClientConfiguration | FL RequireEncryption
False が表示されたら、次のコマンドを使用して暗号化を強制できます：
\> Set-SmbClientConfiguration -RequireEncryption $true
これにより、クライアントからのすべてのアウトバウンド接続で暗号化が使用されるようになり、ネッ トワーク全体のセキュリティが強化されます。
SMB署名と暗号化の比較
SMB署名とSMB暗号化はどちらもネットワーク通信の安全確保に貢献しますが、その目的は異なります：
| 比較項目 | SMB署名 | SMB暗号化 |
|---|---|---|
|
パフォーマンス |
暗号化よりも優れたパフォーマンスが出せる |
暗号化処理によりパフォーマンスのオーバーヘッドが増加する |
|
改ざん防止 |
あり |
あり（署名よりも優先される） |
|
盗聴防止 |
なし |
あり（暗号化により盗聴を防止） |
|
下位互換性 |
新旧のシステムに幅広く対応 |
特定のシステムとの互換性に問題が生じる可能性あり |
|
使用バランス |
パフォーマンスと基本的なセキュリティのバランスを提供 |
暗号化のセキュリティ上の利点とパフォーマンスのバランスを取る必要あり |
|
置き換え |
単独でデータの完全性チェックに使用される |
署名に取って代わるもので、暗号化が使用されると署名はオフになる |
|
セキュリティ |
改ざん防止は提供するが暗号化はなし |
改ざん防止と暗号化の両方を提供 |
|
最適なユースケース |
最小のパフォーマンスオーバーヘッドで改ざん防止が必要なケース |
盗聴防止と改ざん防止の両方が必要不可欠なケース |
結論
必須となったSMBクライアント暗号化機能は、SMBを最新のセキュリティ標準に合わせる上で極めて重要なステップです。すべての接続に暗号化を強制することで、管理者は機密性の高いリソースを改ざんや盗聴から確実に保護することができます。
ご質問がありましたら、SMB プロトコルの専門家であるVisuality Systemsにお問い合わせください。重要なSMBに関するアップデートをナビゲートし、将来に向けてネットワークを保護するお手伝いをさせていただきます。
Raphael Barki, Head of Marketing, Visuality Systems
