Impedir que el tráfico SMB se conexiones laterales e introduzca o abandone la red

Enfoques de firewall perimetral

Los firewalls de hardware perimetral y de dispositivo que se encuentran en el borde de la red deben bloquear la comunicación no solicitada (desde Internet) y el tráfico saliente (a Internet) a los puertos siguientes.
 

Es poco probable que cualquier comunicación SMB procedente de Internet o destinada a Internet sea legítima. El caso principal puede ser para un servidor o servicio basado en la nube, como Azure Files. Debe crear restricciones basadas en direcciones IP en el firewall perimetral para permitir solo esos puntos de conexión específicos. Las organizaciones pueden permitir el acceso del puerto 445 a determinados intervalos IP de Azure Datacenter y O365 para habilitar escenarios híbridos en los que los clientes locales (detrás de un firewall empresarial) usan el puerto SMB para hablar con el almacenamiento de archivos de Azure. También debe permitir solo SMB 3.x tráfico y requieren cifrado SMB AES-128. Vea la sección"Referencias"para obtener más información.

Nota El uso de NetBIOS para el transporte SMB terminó en Windows Vista, Windows Server 2008 y en todos los sistemas operativos de Microsoft posteriores cuando Microsoft introdujo SMB 2.02. Sin embargo, es posible que tenga software y dispositivos que no Windows en su entorno. Debe deshabilitar y quitar SMB1 si aún no lo ha hecho porque sigue usando NetBIOS. Las versiones posteriores de Windows Server y Windows ya no instalan SMB1 de forma predeterminada y la quitarán automáticamente si se permite.

Windows Defender de firewall

Todas las versiones compatibles de Windows y Windows server incluyen el Firewall de Windows Defender (anteriormente denominado Windows firewall). Este firewall proporciona protección adicional para los dispositivos, especialmente cuando los dispositivos se mueven fuera de una red o cuando se ejecutan dentro de uno.

El Firewall de Windows Defender tiene perfiles distintos para determinados tipos de redes: Dominio, Privado y Invitado/Público. La red pública o de invitado normalmente obtiene configuraciones mucho más restrictivas de forma predeterminada que las redes privadas o de dominio más confiables. Es posible que tenga restricciones de SMB diferentes para estas redes en función de su evaluación de amenazas frente a las necesidades operativas.

Conexiones entrantes a un equipo

Para Windows y servidores que no hospedan recursos compartidos SMB, puede bloquear todo el tráfico SMB entrante mediante el Firewall de Windows Defender para evitar conexiones remotas de dispositivos malintencionados o en peligro. En el Firewall de Windows Defender, se incluyen las siguientes reglas de entrada.

También debe crear una nueva regla de bloqueo para invalidar cualquier otra regla de firewall de entrada. Use la siguiente configuración sugerida para cualquier Windows o servidores que no hospedan recursos compartidos SMB:

• Nombre:Bloquear todas las SMB 445 entrantes

• Descripción:Bloquea todo el tráfico ENTRANTE DE SMB TCP 445. No se debe aplicar a controladores de dominio o equipos que hospedan recursos compartidos SMB.

• Acción:Bloquear la conexión

• Programas:Todos

• Equipos remotos:Cualquiera

• Tipo de protocolo:TCP

• Puerto local:445

• Puerto remoto:Cualquiera

• Perfiles:Todos

• Ámbito (dirección IP local):Cualquiera

• Ámbito (dirección IP remota):Cualquiera

• Recorrido perimetral:recorrido de borde de bloque

No debe bloquear globalmente el tráfico SMB entrante a controladores de dominio o servidores de archivos. Sin embargo, puedes restringir el acceso a ellos desde rangos IP y dispositivos de confianza para reducir su superficie de ataque. También deben restringirse a los perfiles de firewall de dominio o privado y no permitir el tráfico público o de invitados.

Nota El Windows de seguridad ha bloqueado todas las comunicaciones SMB entrantes de forma predeterminada desde Windows XP SP2 y Windows Server 2003 SP1. Windows dispositivos permitirán la comunicación SMB de entrada solo si un administrador crea un recurso compartido SMB o modifica la configuración predeterminada del firewall. No debe confiar en que la experiencia predeterminada fuera de la caja sigue estando en su lugar en los dispositivos, independientemente de lo que sea. Compruebe siempre y administre activamente la configuración y su estado deseado mediante la directiva de grupo u otras herramientas de administración.

Para obtener más información, vea Diseñar una Firewall de Windows Defender con estrategia de seguridad avanzada y Firewall de Windows Defender con guía de implementación de seguridad avanzada

Conexiones salientes desde un equipo

Windows clientes y servidores requieren conexiones SMB salientes para aplicar la directiva de grupo desde controladores de dominio y para que los usuarios y aplicaciones accedan a datos en servidores de archivos, por lo que debe tenerse cuidado al crear reglas de firewall para evitar conexiones laterales o de Internet malintencionadas. De forma predeterminada, no hay bloques de salida en un cliente Windows servidor o cliente que se conecta a recursos compartidos SMB, por lo que tendrá que crear nuevas reglas de bloqueo.

También debe crear una nueva regla de bloqueo para invalidar cualquier otra regla de firewall de entrada. Use la siguiente configuración sugerida para cualquier Windows o servidores que no hospedan recursos compartidos SMB.

Redes de invitado/público (que no son de confianza)

• Nombre:Bloquear el invitado saliente/SMB público 445

• Descripción:Bloquea todo el tráfico TCP 445 de SMB saliente cuando se encuentra en una red que no es de confianza

• Acción:Bloquear la conexión

• Programas:Todos

• Equipos remotos:Cualquiera

• Tipo de protocolo:TCP

• Puerto local:Cualquiera

• Puerto remoto:445

• Perfiles:Invitado/Público

• Ámbito (dirección IP local):Cualquiera

• Ámbito (dirección IP remota):Cualquiera

• Recorrido perimetral:recorrido de borde de bloque

Nota Los usuarios pequeños de oficinas y oficinas domésticas, o los usuarios móviles que trabajan en redes corporativas de confianza y luego se conectan a sus redes domésticas, deben tener cuidado antes de bloquear la red pública saliente. Esto puede impedir el acceso a sus dispositivos NAS locales o a determinadas impresoras.

Redes privadas o de dominio (de confianza)

• Nombre:Permitir el dominio saliente/SMB privado 445

• Descripción:Permite el tráfico TCP 445 de SMB saliente solo a los EQUIPOS y servidores de archivos cuando se encuentra en una red de confianza

• Acción:Permitir la conexión si es segura

• Personalizar permitir si Configuración:seleccione una de las opciones, establezca Invalidar reglas de bloque = ACTIVADO

• Programas:Todos

• Tipo de protocolo:TCP

• Puerto local:Cualquiera

• Puerto remoto:445

• Perfiles:Privado/Dominio

• Ámbito (dirección IP local):Cualquiera

• Ámbito (dirección IP remota):<lista de direcciones IP del controlador de dominio y del servidor de archivos>

• Recorrido perimetral:recorrido de borde de bloque

Nota También puede usar los equipos remotos en lugar de las direcciones IP remotas de ámbito, si la conexión protegida usa la autenticación que lleva la identidad del equipo. Revise la documentación del Firewall de Defender para obtener más información sobre "Permitir la conexión si es segura" y las opciones de Equipo remoto.

• Nombre:Bloquear el dominio saliente/SMB privado 445

• Descripción:Bloquea el tráfico SALIENTE DE SMB TCP 445. Invalidar mediante la regla "Permitir el dominio saliente/SMB privado 445"

• Acción:Bloquear la conexión

• Programas:Todos

• Equipos remotos:N/A

• Tipo de protocolo:TCP

• Puerto local:Cualquiera

• Puerto remoto:445

• Perfiles:Privado/Dominio

• Ámbito (dirección IP local):Cualquiera

• Ámbito (dirección IP remota):N/A

• Recorrido perimetral:recorrido de borde de bloque

No debe bloquear globalmente el tráfico SMB saliente de los equipos a controladores de dominio o servidores de archivos. Sin embargo, puedes restringir el acceso a ellos desde rangos IP y dispositivos de confianza para reducir su superficie de ataque.

Para obtener más información, vea Diseñar una Firewall de Windows Defender con estrategia de seguridad avanzada y Firewall de Windows Defender con guía de implementación de seguridad avanzada

Reglas de conexión de seguridad

Debe usar una regla de conexión de seguridad para implementar las excepciones de la regla de firewall saliente para las opciones "Permitir la conexión si es segura" y "Permitir que la conexión use encapsulación nula". Si no establece esta regla en todos los equipos basados Windows y Windows basados en servidor, se producirá un error en la autenticación y se bloqueará la salida de SMB. 

Por ejemplo, se requieren las siguientes opciones de configuración:

• Tipo de regla:Aislamiento

• Requisitos:Solicitar autenticación para conexiones entrantes y salientes

• Método de autenticación:Equipo y usuario (Kerberos V5)

• Perfil:Dominio, Privado, Público

• Nombre:Autenticación ESP de aislamiento para invalidaciones de SMB

Para obtener más información sobre las reglas de conexión de seguridad, vea los artículos siguientes:

• Diseñar una Firewall de Windows Defender con la estrategia de seguridad avanzada

• Lista de comprobación: Configurar reglas para una zona de servidor aislada

Windows Estación de trabajo y servicio de servidor

Para los equipos administrados de consumidores o altamente aislados que no requieren SMB en absoluto, puede deshabilitar los servicios del servidor o de la estación de trabajo. Puede hacerlo manualmente mediante el complemento "Servicios" (Services.msc) y el cmdlet Set-Service de PowerShell, o mediante preferencias de directiva de grupo. Cuando detiene y deshabilita estos servicios, SMB ya no puede realizar conexiones salientes ni recibir conexiones entrantes.

No debe deshabilitar el servicio servidor en controladores de dominio o servidores de archivos o ningún cliente podrá aplicar la directiva de grupo o conectarse a sus datos. No debe deshabilitar el servicio Estación de trabajo en equipos que son miembros de un dominio de Active Directory o ya no aplicarán directiva de grupo.