【Windows】ネットワーク上の情報の開示を最小限にするためのレジストリ変更手順

業務でWindowsPCを利用する際、ネットワークセキュリティは重要な課題です。意図せずPCの情報がネットワーク上に開示され、セキュリティリスクにつながる場合があります。この記事では、Windowsがネットワーク上で開示する情報をレジストリ変更によって最小限に抑える具体的な手順を解説します。PCのセキュリティを強化し、情報漏洩のリスクを低減できるようになります。

Windowsのネットワーク情報開示とセキュリティの考え方

Windowsは、ネットワーク環境で利便性を高めるため、PC名や共有リソースの情報を自動的に開示する場合があります。これは、他のPCからのアクセスを容易にするための機能です。しかし、この自動的な情報開示は、意図しない情報漏洩や不正アクセスのリスクを高める可能性があります。特にビジネス環境では、セキュリティ対策としてこの情報開示を最小限に抑えることが求められます。レジストリを変更することで、Windowsの内部的な動作を制御し、これらの情報開示設定をより厳格に管理できます。

自動共有機能がもたらすリスク

Windowsの「自動共有」機能は、システムドライブや管理共有を自動的に作成します。これにより、管理者権限を持つユーザーはネットワーク経由でPCのドライブ全体にアクセスできます。この機能自体はシステム管理に役立ちますが、設定が不適切な場合やセキュリティが甘い場合、不正アクセス経路となるリスクがあります。

SMBv1プロトコルの脆弱性

SMBv1は、Windowsのファイル共有で使われる古いプロトコルです。このプロトコルには既知のセキュリティ脆弱性が存在し、悪用されると深刻な被害につながる可能性があります。現在ではより安全なSMBv2やSMBv3が利用できるため、SMBv1は原則として無効化することが推奨されます。

ネットワーク上の情報の開示を最小限にするレジストリ変更手順

レジストリの編集は、システムに重大な影響を与える可能性があります。必ず以下の手順に従い、事前にレジストリのバックアップを取得してください。

レジストリのバックアップ手順

1. レジストリエディターを開く
   Windowsキーを押しながら「R」キーを押し、「ファイル名を指定して実行」ダイアログを開きます。「regedit」と入力し、「OK」をクリックします。「ユーザーアカウント制御」のメッセージが表示された場合は、「はい」をクリックして続行します。
2. レジストリ全体をエクスポートする
   レジストリエディターの左ペインで「コンピューター」を選択します。メニューバーの「ファイル」をクリックし、「エクスポート」を選択します。
3. バックアップファイルを保存する
   「レジストリファイルの保存」ダイアログが表示されます。ファイル名に「registry_backup_日付」など分かりやすい名前を入力します。エクスポート範囲は「すべて」を選択し、「保存」をクリックします。これにより、現在のレジストリ設定が.regファイルとして保存されます。

ネットワーク情報開示を制限するレジストリ変更

以下の手順でレジストリの値を変更し、ネットワーク上の情報開示を制限します。

1. レジストリエディターを開く
   レジストリのバックアップ手順と同様に、レジストリエディターを開きます。
2. 目的のパスへ移動する
   アドレスバーに「HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\LanmanServer\Parameters」と入力し、Enterキーを押します。
3. AutoShareServerの値を変更する
   右ペインにある「AutoShareServer」という名前のDWORD値を探します。この値が存在しない場合は、右クリックして「新規」から「DWORD 32ビット値」を選択し、「AutoShareServer」と入力して作成します。作成または既存の「AutoShareServer」をダブルクリックし、「値のデータ」を「0」に設定して「OK」をクリックします。この設定は、サーバー側の自動共有機能を無効にします。
4. AutoShareWksの値を変更する
   同様に、右ペインにある「AutoShareWks」という名前のDWORD値を探します。存在しない場合は新規作成します。この値をダブルクリックし、「値のデータ」を「0」に設定して「OK」をクリックします。この設定は、ワークステーション側の自動共有機能を無効にします。
5. Hiddenの値を設定する
   右ペインで右クリックし、「新規」から「DWORD 32ビット値」を選択します。「Hidden」と入力し、Enterキーを押します。作成した「Hidden」をダブルクリックし、「値のデータ」を「1」に設定して「OK」をクリックします。この設定は、共有リソースを非表示にします。
6. EnableSecuritySignatureの値を設定する
   右ペインで右クリックし、「新規」から「DWORD 32ビット値」を選択します。「EnableSecuritySignature」と入力し、Enterキーを押します。作成した「EnableSecuritySignature」をダブルクリックし、「値のデータ」を「1」に設定して「OK」をクリックします。この設定は、SMB通信でのデジタル署名を有効にします。
7. RequireSecuritySignatureの値を設定する
   右ペインで右クリックし、「新規」から「DWORD 32ビット値」を選択します。「RequireSecuritySignature」と入力し、Enterキーを押します。作成した「RequireSecuritySignature」をダブルクリックし、「値のデータ」を「1」に設定して「OK」をクリックします。この設定は、SMB通信でのデジタル署名を必須にします。

SMBv1プロトコルを無効にするレジストリ変更

SMBv1は脆弱性が指摘されており、可能な限り無効化を推奨します。以下の手順でSMBv1を無効にします。

1. 目的のパスへ移動する
   レジストリエディターのアドレスバーに「HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\mrxsmb10」と入力し、Enterキーを押します。
2. Startの値を変更する
   右ペインにある「Start」という名前のDWORD値をダブルクリックします。「値のデータ」を「4」に設定して「OK」をクリックします。この設定により、SMBv1クライアントドライバーの起動が無効化されます。Windows 10では、この値が「2」の場合にSMBv1が有効です。Windows 11では、デフォルトでSMBv1が無効になっていることが多いですが、念のため確認し「4」に設定してください。
3. レジストリエディターを閉じる
   すべての変更が完了したら、レジストリエディターを閉じます。
4. PCを再起動する
   変更をシステムに適用するため、PCを再起動します。

レジストリ変更時の注意点と発生しうる問題

レジストリの変更は慎重に行う必要があります。誤った操作はシステムに不具合を引き起こす可能性があるため、以下の点に注意してください。

レジストリ変更後にシステムが不安定になる

レジストリの誤ったキーや値を変更すると、Windowsが正常に動作しなくなる場合があります。システムが起動しない、特定の機能が使えなくなるなどの問題が発生する可能性があります。

1. 原因
   レジストリキーの名前や値のデータ型、設定値を間違えた場合に発生します。
2. 対処法
   事前に取得したレジストリバックアップファイル(.regファイル)をダブルクリックして、元の設定に戻します。システムが起動しない場合は、Windowsの回復環境から「システムの復元」を試すか、バックアップから復元する手順を検討してください。

共有フォルダへのアクセスが制限されすぎる

AutoShareServerやAutoShareWksの無効化、Hiddenの設定により、ネットワーク上の共有リソースへのアクセスが厳しくなります。必要な共有フォルダにアクセスできなくなる場合があります。

1. 原因
   セキュリティ強化の設定が、必要な業務上の共有アクセスまで制限してしまったためです。
2. 対処法
   個別に共有設定が必要なフォルダは、エクスプローラーから共有設定を再度確認してください。特定のユーザーやグループに対してのみアクセスを許可する設定に見直すことで、セキュリティと利便性のバランスを取ります。

SMBv1無効化により古いネットワーク機器と接続できない

SMBv1を無効にすると、古いNASやネットワークプリンターなど、SMBv1にしか対応していない機器とのファイル共有や接続ができなくなる可能性があります。

1. 原因
   接続しようとしている機器が、SMBv2以降のプロトコルに対応していないためです。
2. 対処法
   該当機器のメーカーウェブサイトを確認し、ファームウェアのアップデートでSMBv2/SMBv3に対応できるか確認します。対応できない場合は、セキュリティリスクを考慮しつつ、機器の買い替えを検討するか、一時的にSMBv1を有効に戻す必要があります。

レジストリ変更とWindowsファイアウォールのセキュリティ対策比較

この記事で解説したレジストリ変更は、WindowsPCのネットワーク情報開示を最小限に抑え、セキュリティリスクを低減する上で非常に有効な手段です。自動共有機能の無効化やSMBv1プロトコルの停止により、PCが不必要に情報を開示するのを防げます。レジストリ変更は慎重な操作が求められますが、適切に行うことでビジネス環境における情報セキュリティを一段と強化できます。今回設定した内容に加え、Windowsファイアウォールの設定やネットワーク共有オプションの見直しも同時に行うことを推奨します。