วิธีเปิด SMB Signing บน Windows Server 2025 ป้องกัน Man-in-the-Middle Attack ในระบบแชร์ไฟล์

SMB Signing เป็นหนึ่งในฟีเจอร์ด้านความปลอดภัยที่สำคัญของ Windows Server 2025 สำหรับการป้องกันการปลอมแปลงข้อมูลระหว่างการรับส่งไฟล์ผ่านโปรโตคอล SMB (Server Message Block)

หลายองค์กรให้ความสำคัญกับ Firewall, Antivirus และ Patch Management แต่กลับมองข้าม SMB Signing ทั้งที่เป็นมาตรการสำคัญในการป้องกันการโจมตีแบบ Man-in-the-Middle (MITM) ซึ่งผู้โจมตีสามารถดักจับ แก้ไข หรือปลอมแปลงข้อมูลระหว่างทางได้

Microsoft แนะนำให้องค์กรเปิด SMB Signing โดยเฉพาะบน Domain Controller, File Server และระบบที่เกี่ยวข้องกับ Active Directory

① SMB Signing คืออะไร

SMB Signing คือกลไกที่ใช้ลายเซ็นดิจิทัล (Digital Signature) ตรวจสอบความถูกต้องของข้อมูลที่ส่งผ่าน SMB

หน้าที่หลัก

• ตรวจสอบความถูกต้องของข้อมูล
• ป้องกันการแก้ไขข้อมูลระหว่างทาง
• ป้องกันการปลอมแปลง Packet
• ป้องกัน Man-in-the-Middle Attack

หากข้อมูลถูกแก้ไขระหว่างทาง ระบบจะตรวจพบได้ทันที

② ทำไม SMB Signing จึงสำคัญ

หากไม่มี SMB Signing

ผู้โจมตีอาจสามารถ

• ดักจับข้อมูล
• แก้ไขข้อมูล
• ปลอมตัวเป็น Server
• ปลอมตัวเป็น Client

โดยที่ผู้ใช้งานไม่รู้ตัว

SMB Signing ช่วยลดความเสี่ยงเหล่านี้ได้อย่างมาก

③ SMB Signing ทำงานอย่างไร

ทุก Packet ที่ส่งผ่าน SMB จะถูกสร้าง Digital Signature

เมื่อปลายทางได้รับข้อมูล

ระบบจะตรวจสอบ Signature

หาก Signature ไม่ถูกต้อง

ระบบจะปฏิเสธการเชื่อมต่อหรือข้อมูลทันที

④ วิธีตรวจสอบว่า SMB Signing เปิดอยู่หรือไม่

เปิด PowerShell แบบ Administrator

ตรวจสอบฝั่ง Server

Get-SmbServerConfiguration

ดูค่า

RequireSecuritySignature
EnableSecuritySignature

⑤ ความหมายของค่า SMB Signing

EnableSecuritySignature

เปิดรองรับ SMB Signing

RequireSecuritySignature

บังคับให้ใช้ SMB Signing

ค่าที่แนะนำ

EnableSecuritySignature : True
RequireSecuritySignature : True

⑥ วิธีเปิด SMB Signing ผ่าน PowerShell

เปิด SMB Signing

Set-SmbServerConfiguration -EnableSecuritySignature $true

บังคับใช้ SMB Signing

Set-SmbServerConfiguration -RequireSecuritySignature $true

จากนั้นตรวจสอบค่าอีกครั้ง

⑦ วิธีเปิด SMB Signing ผ่าน Group Policy

เปิด

gpmc.msc

ไปที่

Computer Configuration
 └ Windows Settings
     └ Security Settings
         └ Local Policies
             └ Security Options

นโยบายที่สำคัญ

Microsoft network server:
Digitally sign communications (always)

ตั้งค่าเป็น

Enabled

⑧ วิธีเปิด SMB Signing ฝั่ง Client

นโยบาย

Microsoft network client:
Digitally sign communications (always)

ควรเปิดเช่นกัน

เพื่อให้การเชื่อมต่อมีความปลอดภัยทั้งสองฝั่ง

⑨ วิธีตรวจสอบการเชื่อมต่อ SMB

ใช้คำสั่ง

Get-SmbConnection

ตรวจสอบสถานะ

• SMB Version
• Signing
• Encryption

ช่วยให้ทราบว่าระบบใช้งานตามนโยบายหรือไม่

⑩ SMB Signing ป้องกันอะไรได้บ้าง

ช่วยลดความเสี่ยงจาก

• Man-in-the-Middle Attack
• Session Hijacking
• Packet Modification
• Credential Relay Attack
• Unauthorized Access

โดยเฉพาะในเครือข่ายองค์กรขนาดใหญ่

⑪ SMB Signing กับ SMB Encryption ต่างกันอย่างไร

SMB Signing

ตรวจสอบความถูกต้องของข้อมูล

SMB Encryption

เข้ารหัสข้อมูลระหว่างส่ง

หากต้องการความปลอดภัยสูงสุด

ควรเปิดทั้งสองฟีเจอร์

⑫ ผลกระทบด้าน Performance

SMB Signing มีการใช้ CPU เพิ่มขึ้นเล็กน้อย

แต่บน Server รุ่นใหม่

ผลกระทบแทบไม่สังเกตเห็น

Microsoft จึงยังแนะนำให้เปิดใช้งาน

⑬ ข้อผิดพลาดที่พบบ่อย

เปิดเฉพาะฝั่ง Server

แต่ลืมฝั่ง Client

เปิด SMB Signing แต่ยังใช้ SMBv1

ไม่ช่วยเพิ่มความปลอดภัยมากนัก

ใช้ GPO ซ้ำซ้อน

ทำให้ค่าถูก Override

ไม่ตรวจสอบหลังตั้งค่า

ทำให้เข้าใจผิดว่าระบบทำงานแล้ว

⑭ SMB Signing กับ Active Directory

Domain Controller ควรเปิด SMB Signing เสมอ

เนื่องจากเกี่ยวข้องกับ

• Authentication
• Group Policy
• SYSVOL
• NETLOGON

Microsoft ถือว่าเป็นหนึ่งใน Security Baseline สำคัญของ Active Directory

⑮ Best Practice สำหรับองค์กร

• ปิด SMBv1
• เปิด SMB Signing
• ใช้ SMBv3
• เปิด Firewall
• อัปเดต Windows อย่างสม่ำเสมอ
• ตรวจสอบ SMB Audit Logs

ทีมงาน comsiam มักกำหนด SMB Signing เป็นมาตรฐานสำหรับ Domain Controller ทุกเครื่อง เพราะช่วยลดความเสี่ยงจากการโจมตีภายในเครือข่ายได้อย่างมีประสิทธิภาพ

หลายองค์กรที่ comsiam เข้าไปตรวจสอบพบว่า SMB Signing ถูกปิดอยู่โดยไม่ทราบสาเหตุ ทั้งที่เป็นฟีเจอร์ฟรีและเปิดใช้งานได้ง่ายมาก

⑯ FAQ

SMB Signing จำเป็นหรือไม่

จำเป็นสำหรับระบบองค์กร

SMB Signing ทำให้เครื่องช้าหรือไม่

มีผลกระทบเล็กน้อยเท่านั้น

Domain Controller ควรเปิดหรือไม่

ควรเปิดอย่างยิ่ง

ควรใช้ร่วมกับ SMB Encryption หรือไม่

ควรใช้ร่วมกันเพื่อความปลอดภัยสูงสุด

⑰ สรุป

SMB Signing เป็นฟีเจอร์ด้านความปลอดภัยที่ช่วยป้องกันการปลอมแปลงข้อมูลและการโจมตีแบบ Man-in-the-Middle ในระบบแชร์ไฟล์ของ Windows Server 2025 การเปิดใช้งาน SMB Signing ร่วมกับ SMBv3 และ SMB Encryption จะช่วยเพิ่มความปลอดภัยให้กับ File Server และ Active Directory ได้อย่างมีนัยสำคัญ

⑱ คำถามชวนคิด

หากมีผู้โจมตีสามารถดักจับข้อมูลระหว่าง File Server และเครื่องลูกข่ายในองค์กรของคุณได้ วันนี้คุณมีอะไรยืนยันหรือไม่ว่าข้อมูลที่ถูกส่งไปถึงปลายทางเป็นข้อมูลชุดเดียวกับที่ถูกส่งออกมาจริง ๆ?