SMB署名
SMBの全メッセージにセッション鍵由来の署名(メッセージ全体のハッシュと送信者・受信者の識別情報を含む)を付け、改ざんとリレー攻撃を検知する仕組み。Windows 11 24H2/Windows Server 2025で既定値が強化された。
- 概念URI
https://comcomponent.com/knowledge/smb-signing/- 別名・表記
- SMB Signing
- 最終確認日
- 2026-08-01
- 機械可読データ
- JSON-LD
この概念が関わる関係
- SMB署名はNTLMリレー攻撃を軽減します。SMB署名が有効な相手にはリレー攻撃が成立しないため、SMBを宛先とするリレー経路は塞がる。ただし捕捉したNTLM認証をLDAPやHTTPなど別プロトコルへ中継する経路までは防げない / 確度: 確立した関係 / 確認日: 2026-08-01 出典
- SMB署名はNTLMリレー攻撃を防ぎます。SMB署名はメッセージ全体のハッシュと送信者・受信者の身元を含む署名を付けるため、署名を要求する相手にはリレーが成立しない。クライアント・サーバーの少なくとも一方が署名を必須にしている場合に限る。両方とも必須にしていなければ署名されず、この防御は効かない / 確度: 条件付きの関係 / 確認日: 2026-08-01 出典
- KerberosはSMB署名に対する本記事の推奨です。SMB署名のセッション鍵はパスワード由来のため、NTLMv2ではなくKerberosを使うことで鍵が強い状態で始まる / 確度: 確立した関係 / 確認日: 2026-08-01 出典
- ドメインコントローラーはSMB署名を前提とします。SYSVOL・NETLOGON共有へ接続してくる相手に対しては、ドメインコントローラーは既定でSMB署名を要求する。DCが提供する他のプロトコル・共有すべてに当てはまるわけではない / 確度: 条件付きの関係 / 確認日: 2026-08-01 出典
- SMB署名はNTLMリレー攻撃を防ぎます。署名にはメッセージ全体のハッシュに加えて元の送信者と意図した受信者の識別情報が含まれ、転送中に改ざん・中継されると署名が一致しなくなる(クライアント・サーバーの少なくとも一方が署名を必須にしている場合に限る。両方とも必須にしていなければ署名されず、この防御は効かない) / 確度: 条件付きの関係 / 確認日: 2026-08-01 出典
- Windows 11 バージョン24H2 / Windows Server 2025はSMB署名を前提とします。Windows 11 24H2のEnterprise・Pro・Educationは送信・受信の両方でSMB署名が既定必須、Windows Server 2025は送信のみ既定必須(Homeはどちらも対象外) / 確度: 条件付きの関係 / 確認日: 2026-08-01 出典
- SMB署名はSMB署名必須化による接続エラーの原因になることがあります。署名に対応しない・無効にしているサードパーティ機器へ接続すると0xc000a000(STATUS_INVALID_SIGNATURE)で失敗する / 確度: 条件付きの関係 / 確認日: 2026-08-01 出典
- SMB署名はSMBゲストアクセスの無効化を前提とします。Windows 11 24H2(Enterprise・Pro・Education)とWindows Server 2025の既定変更では、SMB署名の必須化はゲストアクセスの無効化とセットで導入される。 / 確度: 条件付きの関係 / 確認日: 2026-08-01 出典
- SMB署名はグループポリシーで構成できます。「Microsoft ネットワーク クライアント/サーバー: 常に通信にデジタル署名を行う」で必須(Require)にする / 確度: 確立した関係 / 確認日: 2026-08-01 出典
- KerberosはSMB署名に対する本記事の推奨です。SMB署名のセッション鍵はパスワードに由来するため、NTLMv2ではなくKerberosを使うことでセッション鍵が強い状態で始まる / 確度: 確立した関係 / 確認日: 2026-08-01 出典
- ドメインコントローラーはSMB署名を前提とします。ドメインコントローラーは以前からSYSVOL・NETLOGONへ接続する相手にSMB署名を要求している(この既定はSYSVOL・NETLOGON共有への接続に限られ、ドメインコントローラーの通信全般に及ぶものではない) / 確度: 条件付きの関係 / 確認日: 2026-08-01 出典
- SMB署名はSMB署名非対応検出監査で確認できます。必須化の前に、署名や暗号化に対応しないサードパーティのクライアント・サーバーを検出する監査(Set-SmbServerConfiguration -AuditClientDoesNotSupportSigning等)で洗い出せる / 確度: 確立した関係 / 確認日: 2026-08-01 出典
- SMB署名非対応検出監査はSMB署名より先に行うべきです。署名を必須にする前に、まず監査で署名できない相手を業務一巡分洗い出すのが定石 / 確度: 確立した関係 / 確認日: 2026-08-01 出典
この概念を扱う記事
一次資料
このページはサイトの知識グラフ(_data/knowledge/)から自動生成されています。誤りの指摘はお問い合わせからお願いします。