Förhindra SMB-trafik från anslutningar och gå in i eller lämna nätverket

Perimeterbrandväggen närmar sig

Perimetermaskinvara och brandväggar för utrustning som är placerade vid kanten av nätverket bör blockera oombedd kommunikation (från internet) och utgående trafik (till internet) till följande portar.
 

Det är osannolikt att SMB-kommunikation som kommer från Internet eller som är avsedd för Internet är legitim. Det primära fallet kan vara för en molnbaserad server eller tjänst, till exempel Azure-filer. Du bör skapa IP-adressbaserade begränsningar i perimeterbrandväggen så att endast de specifika slutpunkterna tillåts. Organisationer kan tillåta port 445-åtkomst till specifika Azure-datacenter och O365 IP-intervall för att aktivera hybridscenarier där lokala klienter (bakom en företagsbrandvägg) använder SMB-porten för att prata med Azure-fillagring. Du bör också bara tillåta SMB 3.x-trafik och kräver SMB AES-128-kryptering. Mer information finnsiavsnittet "Referenser".

Obs! Användningen av NetBIOS för SMB-transport upphörde i Windows Vista, Windows Server 2008 och i alla senare Microsoft-operativsystem när Microsoft införde SMB 2.02. Men du kan ha annan programvara och andra enheter än Windows i din miljö. Du bör inaktivera och ta bort SMB1 om du inte redan har gjort det eftersom NetBIOS fortfarande används. Senare versioner av Windows Server och Windows installerar inte längre SMB1 som standard och tar automatiskt bort det om det är tillåtet.

Windows Defender-brandväggen närmar sig

Alla versioner av Windows och Windows Server som stöds innehåller Windows Defender-brandväggen (kallades tidigare Windows-brandväggen). Den här brandväggen ger ytterligare skydd för enheter, särskilt när enheter flyttas utanför ett nätverk eller när de körs inom ett.

Windows Defender-brandväggen har särskilda profiler för vissa typer av nätverk: domän, privat och gäst/offentlig. Gäst-/offentligt nätverk blir vanligtvis mycket mer restriktiva inställningar som standard än de mer betrodda domän- eller privata nätverken. Du kanske har olika SMB-begränsningar för dessa nätverk baserat på dina hotutvärderingar och driftsbehov.

Inkommande anslutningar till en dator

För Windows-klienter och Windows-servrar som inte har SMB-resurser kan du blockera all inkommande SMB-trafik med hjälp av Windows Defender-brandväggen för att förhindra fjärranslutningar från skadliga eller komprometterade enheter. I Windows Defender-brandväggen omfattar detta följande regler för inkommande trafik.

Du bör också skapa en ny blockeringsregel som åsidosätter andra regler för inkommande brandväggar. Använd följande föreslagna inställningar för Windows-klienter eller -servrar som inte är värd för SMB-resurser:

• Namn:Blockera alla inkommande SMB 445

• Beskrivning:Blockerar all inkommande SMB TCP 445-trafik. Ska inte tillämpas på domänkontrollanter eller datorer som har SMB-resurser.

• Åtgärd:Blockera anslutningen

• Program:Alla

• Fjärrdatorer: alla

• Protokolltyp:TCP

• Lokal port: 445

• Fjärrport: Valfri

• Profiler: Alla

• Omfattning (lokal IP-adress): alla

• Omfattning (fjärr-IP-adress): alla

• Edge Traversal: Blockera edge traversal

Du får inte globalt blockera inkommande SMB-trafik till domänkontrollanter eller filservrar. Du kan dock begränsa åtkomsten till dem från betrodda IP-intervall och enheter för att minska deras attackyta. De bör också begränsas till domän eller privata brandväggsprofiler och inte tillåta gäst/offentlig trafik.

Obs! Windows-brandväggen har blockerat all inkommande SMB-kommunikation som standard sedan Windows XP SP2 och Windows Server 2003 SP1. Windows-enheter tillåter bara inkommande SMB-kommunikation om en administratör skapar en SMB-delning eller ändrar standardinställningarna för brandväggen. Du bör inte lita på att standardinställningen för inkommande enheter fortfarande är på plats på enheter, oavsett vad du har att göra. Verifiera och hantera alltid och aktivt inställningar och önskad status med hjälp av grupprincip eller andra hanteringsverktyg.

Mer information finns i utforma en Windows Defender-brandvägg med avancerad säkerhetsstrategi ochWindows Defender-brandväggen med avancerad distributionsguide för säkerhet

Utgående anslutningar från en dator

Windows-klienter och Windows-servrar kräver utgående SMB-anslutningar för att kunna tillämpa grupprinciper från domänkontrollanter och för att användare och program ska kunna komma åt data på filservrar, så det är viktigt att du tar hänsyn när du skapar brandväggsregler för att förhindra skadliga anslutningar eller Internetanslutningar. Som standard finns det inga utgående block på en Windows-klient eller -server som ansluter till SMB-resurser, så du måste skapa nya blockeringsregler.

Du bör också skapa en ny blockeringsregel som åsidosätter alla andra regler för inkommande brandväggar. Använd följande föreslagna inställningar för Windows-klienter eller -servrar som inte är värd för SMB-resurser.

Gästnätverk/offentliga (icke betrodda) nätverk

• Namn:Blockera utgående gäst/offentlig SMB 445

• Beskrivning:Blockerar all utgående SMB TCP 445-trafik när du använder ett icke betroddt nätverk

• Åtgärd:Blockera anslutningen

• Program:Alla

• Fjärrdatorer: alla

• Protokolltyp:TCP

• Lokal port: Valfri

• Fjärrport: 445

• Profiler: Gäst/offentlig

• Omfattning (lokal IP-adress): alla

• Omfattning (fjärr-IP-adress): valfri

• Edge Traversal: Blockera edge traversal

Obs! Små office- och hemanvändare, eller mobila användare som arbetar i betrodda företagsnätverk och sedan ansluter till sina hemnätverk, bör vara försiktig innan de blockerar det offentliga utgående nätverket. Det kan förhindra åtkomst till deras lokala NAS-enheter eller vissa skrivare.

Privata/domännätverk (betrodda)

• Namn:Tillåt utgående domän/privat SMB 445

• Beskrivning:Tillåter utgående SMB TCP 445-trafik till endast DCs och filservrar när du använder ett betrott nätverk

• Åtgärd:Tillåt anslutningen om den är säker

• Anpassa Tillåt om säker inställning: välj ett av alternativen, ange Regler för åsidosättning av blockering = PÅ

• Program:Alla

• Protokolltyp:TCP

• Lokal port: Valfri

• Fjärrport: 445

• Profiler:Privat/Domän

• Omfattning (lokal IP-adress): alla

• Omfattning (fjärr-IP-adress): <lista över domänkontrollanter och IP-adresser för filservern>

• Edge Traversal: Blockera edge traversal

Obs! Du kan också använda fjärrdatorerna i stället för fjärr-IP-adresser, om den säkra anslutningen använder autentisering som har datorns identitet. Mer information om "Tillåt anslutning om är säker" och Alternativ för Fjärrdator finns i Defender-brandväggens dokumentation.

• Namn:Blockera utgående domän/privat SMB 445

• Beskrivning:Blockerar utgående SMB TCP 445-trafik. Åsidosätta med hjälp av regeln "Tillåt utgående domän/privat SMB 445"

• Åtgärd:Blockera anslutningen

• Program:Alla

• Fjärrdatorer: EJ A

• Protokolltyp:TCP

• Lokal port: Valfri

• Fjärrport: 445

• Profiler:Privat/Domän

• Omfattning (lokal IP-adress): alla

• Omfattning (fjärr-IP-adress): EJ A

• Edge Traversal: Blockera edge traversal

Du får inte globalt blockera utgående SMB-trafik från datorer till domänkontrollanter eller filservrar. Du kan dock begränsa åtkomsten till dem från betrodda IP-intervall och enheter för att minska deras attackyta.

Mer information finns i utforma en Windows Defender-brandvägg med avancerad säkerhetsstrategi ochWindows Defender-brandväggen med avancerad distributionsguide för säkerhet

Säkerhetsanslutningsregler

Du måste använda en säkerhetsanslutningsregel för att implementera undantagen för reglerna för utgående brandväggar för inställningarna "Tillåt anslutning om den är säker" och "Tillåt anslutningen att använda null encapsulation". Om du inte anger regeln på alla Windows-baserade datorer och Windows Server-baserade datorer kommer autentiseringen att misslyckas och SMB blockeras utgående. 

Följande inställningar är till exempel obligatoriska:

• Regeltyp: Isolation

• Krav:Begära autentisering för inkommande och utgående anslutningar

• Autentiseringsmetod:Dator och användare (Kerberos V5)

• Profil:Domän, Privat, Offentlig

• Namn:ESP-autentisering i isolation för SMB-åsidosättningar

Mer information om säkerhetsanslutningsregler finns i följande artiklar:

• Designa en Windows Defender-brandvägg med avancerad säkerhetsstrategihttps://nam06.safelinks.protection.outlook.com/?url=https%3A%2F%2Fdocs.microsoft.com%2Fwindows%2Fsecurity%2Fthreat-protection%2Fwindows-firewall%2Fdesigning-a-windows-firewall-with-advanced-security-strategy&data=04%7C01%7Cv-jesits%40microsoft.com%7C4425786dc6094f2025cf08d8c226dcd5%7C72f988bf86f141af91ab2d7cd011db47%7C1%7C0%7C637472819459803105%7CUnknown%7CTWFpbGZsb3d8eyJWIjoiMC4wLjAwMDAiLCJQIjoiV2luMzIiLCJBTiI6Ik1haWwiLCJXVCI6Mn0%3D%7C1000&sdata=Ri81IaMdp6Q88L5v%2Bnz%2B0s2bgSPfRdYD8wxkgYQD8RA%3D&reserved=0

• Checklista: Konfigurera regler för en isolerad serverzon

Windows arbetsstation och servertjänst

För konsumentdatorer eller datorer med mycket isolerad trafik som inte kräver SMB alls kan du inaktivera server- eller arbetsstationstjänsterna. Det kan du göra manuellt med hjälp av snapin-modulen "Services.msc" och PowerShell Set-Service-cmdleten, eller genom att använda grupprincip Inställningar. När du stoppar och inaktiverar dessa tjänster kan SMB inte längre skapa utgående anslutningar eller ta emot inkommande anslutningar.

Du får inte inaktivera servertjänsten på domänkontrollanter eller filservrar, annars kan inga klienter tillämpa grupprinciper eller ansluta till sina data längre. Du får inte inaktivera arbetsstationstjänsten på datorer som är medlemmar i en Active Directory-domän, annars kommer de inte längre att använda grupprinciper.