Windows 11/10でSMB1を無効化すべき理由と具体的な手順を解説

システムのセキュリティに関する懸念は今に始まったことではありませんが、「WannaCrypt(ワナクライ)」ランサムウェアが引き起こした大規模な混乱は、多くのユーザーに即座の対応を促しました。このランサムウェアは、Windows OSのSMBサービスが持つ脆弱性を悪用して感染を拡大します。

SMB(Server Message Block)とは、コンピューター間でファイルやプリンターなどを共有するために使われるネットワークファイル共有プロトコルです。バージョンには「SMB バージョン1(SMBv1)」「SMB バージョン2(SMBv2)」「SMB バージョン3(SMBv3)」の3種類があります。Microsoftはセキュリティ上の理由からSMB1の無効化を推奨しており、WannaCryptやNotPetyaといったランサムウェアが猛威を振るっている現在、その対応の重要性は一段と高まっています。

Windows 11/10でSMB1を無効にする方法

WannaCryptランサムウェアの被害から身を守るためには、SMB1を無効化するとともに、Microsoftが公開しているセキュリティ更新プログラムを必ず適用することが不可欠です。ここでは、Windows 11/10/8/7でSMB1を無効にする代表的な方法を3つご紹介します。

方法1: コントロールパネルからSMB1をオフにする

コントロールパネルを開き、「プログラムと機能」→「Windowsの機能の有効化または無効化」の順に選択します。

表示された項目の一覧から「SMB 1.0/CIFS ファイル共有のサポート」を探し、チェックボックスのチェックを外して「OK」をクリックします。

設定を反映させるため、パソコンを再起動してください。

関連記事: Windows 10でSMBv2を有効/無効にする方法

方法2: PowerShellでSMBv1を無効化する

PowerShellを管理者として実行し、以下のコマンドを入力してEnterキーを押します。

Set-ItemProperty -Path "HKLM:\SYSTEM\CurrentControlSet\Services\LanmanServer\Parameters" SMB1 -Type DWORD -Value 0 –Force

何らかの理由で一時的にSMBバージョン2およびバージョン3も無効化したい場合は、次のコマンドを使用します。

Set-ItemProperty -Path "HKLM:\SYSTEM\CurrentControlSet\Services\LanmanServer\Parameters" SMB2 -Type DWORD -Value 0 –Force

SMBバージョン1は約30年前の技術をベースとした旧式のプロトコルであり、無効化することが強く推奨されています。

Microsoftによると、SMB1を使用し続けると、新しいSMBプロトコルバージョンが備える以下のような重要な保護機能を失うことになります。

1. 認証前整合性(SMB 3.1.1以降) – セキュリティダウングレード攻撃から保護します。
2. 安全でないゲスト認証のブロック(Windows 10以降のSMB 3.0以上) – 中間者(MiTM)攻撃から保護します。
3. セキュアダイアレクトネゴシエーション(SMB 3.0 / 3.02) – セキュリティダウングレード攻撃から保護します。
4. 強化されたメッセージ署名(SMB 2.02以降) – SMB 2.02および2.1ではHMAC SHA-256がMD5に代わるハッシュアルゴリズムとして採用され、SMB 3.0以降ではAES-CMACが使用されます。SMB2・3では署名処理のパフォーマンスも向上しています。
5. 暗号化(SMB 3.0以降) – 通信路上でのデータ盗聴や中間者(MiTM)攻撃を防止します。SMB 3.1.1では、暗号化のパフォーマンスが署名処理を上回るほど最適化されています。

後で再度有効化したい場合(ただしSMB1の再有効化は推奨されません)は、以下のコマンドを実行します。

SMB1を有効にする場合:

Set-ItemProperty -Path "HKLM:\SYSTEM\CurrentControlSet\Services\LanmanServer\Parameters" SMB1 -Type DWORD -Value 1 -Force

SMB2およびSMB3を有効にする場合:

Set-ItemProperty -Path "HKLM:\SYSTEM\CurrentControlSet\Services\LanmanServer\Parameters" SMB2 -Type DWORD -Value 1 –Force

方法3: WindowsレジストリでSMB1を無効化する

Windowsレジストリを直接編集することでも、SMB1を無効にできます。

「ファイル名を指定して実行」から regedit を実行し、以下のレジストリキーへ移動します。

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\LanmanServer\Parameters

右側のペインを確認し、DWORD値 SMB1 が存在しない状態、または値が 0 になっていることを確認します。

有効/無効の設定値は以下の通りです。

• 0 = 無効
• 1 = 有効

SMBサーバーおよびSMBクライアント側でSMBプロトコルを無効化するその他のオプションや詳細な手順については、Microsoftの公式ドキュメントをご参照ください。

あわせて読みたい: Windowsドメイン環境でNTLM認証を無効にする方法