TCP 445 포트는 왜 차단 대상인가요?

지침은 양방향 차단을 적습니다

답부터 적으면 CISA 의 랜섬웨어 지침은 경계 방화벽에서 TCP 445 를 인바운드와 아웃바운드 모두 차단하라고 적습니다. 들어오는 쪽만 막는 것이 아니라 나가는 쪽도 함께 막는 구성입니다. 한 방향만 막고 적용을 끝낸 것으로 보는 경우가 흔합니다.

들어오는 쪽을 막는 이유

445 는 파일 공유에 쓰이는 포트입니다. 이 포트가 외부에서 닿으면 내부의 공유 경로가 인터넷에 노출된 상태가 됩니다. 인터넷에 열린 서비스는 사람이 찾기 전에 자동화된 탐색이 먼저 찾으므로, 조직 규모와 무관하게 시도가 들어옵니다. 그래서 경계에서 막는 것이 기본값입니다.

나가는 쪽을 막는 이유

아웃바운드 차단은 성격이 다릅니다. 내부 장비가 외부의 파일 공유로 연결을 시도하는 경로를 끊습니다. 내부에서 외부로 향하는 통신은 정상 업무로 보이기 쉬워 눈에 덜 띕니다. 양방향을 함께 막으라고 적혀 있는 이유가 여기에 있습니다.

경계 차단이 내부 전파를 막지는 않습니다

여기서 역할을 구분해야 합니다. 경계에서 445 를 막아도 내부 장비 사이의 통신은 그대로입니다. 내부 전파를 줄이는 작업은 따로 있습니다. 같은 지침은 SMBv1 비활성화와 SMBv3 업그레이드를 적고, 강화된 보호에는 SMBv3.1.1 을 요구하라고 적습니다. 경계 차단과 내부 전환은 서로를 대체하지 않습니다.

사례: 규칙 두 줄로 상태를 확정하기

상황은 사무실 경계 방화벽 1대입니다. 입력값은 확인일 2026년 10월 19일, 기존 규칙에 445 인바운드 차단만 존재, 아웃바운드는 전체 허용, 내부 장비 18대 중 2대가 구버전 프로토콜 의존입니다. 계산은 규칙을 두 줄로 맞추는 것입니다. 인바운드 차단 1줄은 이미 있으므로 아웃바운드 차단 1줄을 추가하면 지침이 적은 양방향 차단이 충족됩니다. 내부 전파는 이 작업으로 달라지지 않으므로 SMBv1 비활성화와 SMBv3 전환을 별도 일정으로 둡니다. 최종 결과는 경계 규칙 2줄 완성, 내부 전환 대상 18대 중 즉시 16대와 별도 2대입니다. 결과를 바꾸는 예외는 외부 거점과 파일 공유로 연결된 업무가 있는 경우로, 그때는 차단 전에 그 경로를 다른 방식으로 대체해야 합니다. 다음 행동은 방화벽 규칙 목록에서 445 관련 줄을 모두 찾아 방향을 적는 것입니다.

차단 전에 확인할 업무 경로

양방향 차단은 외부와의 파일 공유를 쓰던 업무를 멈출 수 있습니다. 지점이나 협력사와 공유 경로로 파일을 주고받던 흐름이 대표적입니다. 차단 적용 전에 그런 경로가 있는지 확인하고, 있으면 대체 수단을 먼저 만듭니다. 확인 없이 적용하면 장애로 되돌리게 되고, 되돌린 뒤 다시 적용하지 않은 상태로 남기 쉽습니다.

적용 상태를 기록으로 남기는 이유

방화벽 규칙은 여러 사람이 손대는 설정입니다. 누가 언제 어떤 방향을 막았는지 남지 않으면 나중에 규칙이 사라져도 알 수 없습니다. 같은 지침이 중요 시스템 로그를 최소 1년 보관하라고 적는 것처럼, 규칙 변경 기록도 함께 보관하는 편이 안전합니다. 사고 때 경계 상태를 설명할 근거가 됩니다.

경계 차단과 내부 전환의 역할 구분