Microsoft ha anunciado que en la compilación 25992 del canal Insider Preview de Windows 11 ya no se agregarán automáticamente las reglas de Firewall de Windows Defender relacionadas con SMB1 al crear nuevos recursos compartidos SMB. Esta decisión forma parte de un esfuerzo más amplio para mejorar la seguridad de los sistemas operativos.
Antes
En versiones anteriores, al crear un recurso compartido se configuraba automáticamente el firewall para habilitar las reglas en el grupo «Compartir archivos e impresoras» para los perfiles de firewall determinados. Esta práctica comenzó con Windows XP SP2 y fue diseñada tanto para SMB1 como para facilitar la implementación de tecnologías que utilizan SMB, incluida la impresión, la política de grupo heredada y otras.
Ahora
Windows ahora configura automáticamente el nuevo grupo «Compartir archivos e impresoras (restrictivo)» cuando se crea un recurso compartido SMB. Este grupo ya no incluye los puertos NetBIOS entrantes 137-139, que no son utilizados por SMB2 o versiones posteriores y son considerados artefactos de SMB1. Si un administrador reinstala el servidor SMB1 por razones de compatibilidad heredada, deberá asegurarse de que esos puertos del firewall se vuelvan a abrir.
«Este cambio impone un mayor grado de seguridad predeterminada de la red, además de acercar las reglas de firewall de SMB al comportamiento del rol «Servidor de archivos» de Windows Server», indicaron Amanda Langowski y Brandon LeBlanc de Microsoft.
«Los administradores aún pueden configurar el grupo «Compartir archivos e impresoras» si es necesario, así como modificar este nuevo grupo de firewall. Planeamos actualizaciones futuras para esta regla para eliminar también los puertos entrantes ICMP, LLMNR y Spooler Service y restringirlos solo a los puertos necesarios para compartir SMB», agregó Ned Pyle, director principal de programas de Microsoft.
El cliente SMB ahora permite conexiones con un servidor SMB a través de TCP, QUIC o RDMA mediante puertos personalizados diferentes de los valores predeterminados. Anteriormente, SMB solo admitía TCP/445, QUIC/443 y RDMA iWARP/5445.
Estas mejoras son parte de un esfuerzo más amplio para fortalecer la seguridad de Windows y Windows Server, como lo destacan otras actualizaciones publicadas en los últimos meses.
Cifrado SMB y protección contra ataques
Con la introducción de la compilación 25982 del canal Insider Preview, los administradores ahora pueden imponer el cifrado del cliente SMB para todas las conexiones salientes. Al exigir que todos los servidores de destino admitan SMB 3.x y cifrado, los administradores pueden garantizar que todas las conexiones sean seguras, mitigando así los riesgos de ataques de escucha e interceptación.
Los administradores también pueden configurar los sistemas Windows 11 para bloquear el envío de datos NTLM a través de SMB automáticamente en conexiones salientes remotas para frustrar ataques de paso de hash, retransmisión NTLM o descifrado de contraseñas, comenzando con la compilación 25951 del canal Insider Preview.
Con la compilación 25381 del canal Insider Preview, Redmond también comenzó a requerir la firma SMB (firmas de seguridad) de forma predeterminada para todas las conexiones para defenderse contra ataques de retransmisión NTLM.
El año pasado, en abril, Microsoft reveló la fase final de deshabilitar el protocolo SMB1 para Windows 11 Home Insiders. La empresa también reforzó las defensas contra ataques de fuerza bruta en septiembre de 2022 mediante la introducción de un limitador de tasa de autenticación SMB diseñado para mitigar el impacto de los intentos fallidos de autenticación NTLM entrante.