NetBIOS

NetBIOS; 네트워크 기본 입출력 시스템
로컬 네트워크에서 이름 등록·조회, 데이터그램, 세션 통신을 제공하는 응용 계층 인터페이스이다.

NetBIOS(Network Basic Input/Output System)는 IBM이 고안한 API로, 초기에는 브로드캐스트 기반의 NetBEUI 프로토콜 위에서 동작했다. 오늘날에는 RFC 1001/1002가 정의한 NetBIOS over TCP/IP(NBT) 형태로 TCP/IP 위에서 쓰이며, 윈도우의 파일·프린터 공유 기반이 된다.

이름 서비스와 포트

서비스	포트	설명
이름 서비스(Name Service)	137/UDP	컴퓨터 이름 등록·조회(NBNS/WINS)
데이터그램 서비스(Datagram Service)	138/UDP	비연결형 브로드캐스트 메시지 전달
세션 서비스(Session Service)	139/TCP	연결형 세션으로 파일 공유 등 데이터 송수신

NetBEUI와 SMB

NetBEUI(NetBIOS Extended User Interface)는 라우팅이 불가능한 소규모 LAN 전용 프로토콜로, NetBIOS를 전송하는 초기 수단이었다. SMB(Server Message Block)는 파일·프린터 공유를 담당하는 상위 프로토콜로, 과거에는 NetBIOS 세션 서비스(139/TCP) 위에서 동작했으나 현재는 445/TCP에서 NetBIOS 없이 직접 동작(Direct Hosting)한다. 따라서 137~139 포트는 레거시 NetBIOS 공유, 445 포트는 현대 SMB 공유와 관련된다.

보안 위협

위협	설명
널 세션(Null Session)	익명(빈 자격증명) 연결로 사용자·공유·정책 등 시스템 정보를 열거하는 공격
공유 폴더 노출	잘못 설정된 공유로 파일이 외부에 노출되거나 랜섬웨어 확산 경로가 되는 위협
NBNS 스푸핑	이름 질의에 공격자가 위조 응답을 보내 트래픽을 가로채고 인증 정보를 탈취하는 공격

대응 방안

불필요한 경우 TCP/IP에서 NetBIOS를 비활성화하고 SMB 서명을 활성화한다.
방화벽에서 137~139, 445 포트를 외부로부터 차단한다.
익명 로그온·널 세션 접근을 제한하는 보안 정책(RestrictAnonymous 등)을 적용한다.
공유 폴더에 최소 권한 원칙에 따라 접근 권한을 최소화한다.

시험 포인트

137/UDP(이름), 138/UDP(데이터그램), 139/TCP(세션)의 포트와 역할을 정확히 암기한다.
139(NetBIOS 세션 기반 SMB)와 445(Direct Hosting SMB)의 차이를 구분한다.
널 세션을 통한 정보 열거와 그 대응(익명 접근 제한)을 이해한다.

같이 보기

참고 문헌