SMB (Server Message Block) ist das Protokoll hinter Windows-Dateifreigaben, Netzlaufwerken und den Ordnern, in denen Dokumente, Engineering-Dateien und PLC-Programme gespeichert sind. Es läuft über TCP-Port 445 (Legacy 139) und ist in der IT allgegenwärtig und wird zunehmend auch in OT-Umgebungen für den Transfer von Rezepten, Programmen und Berichten eingebunden. Es ist außerdem einer der häufigsten Wege, über den sich Ransomware verbreitet und Daten einen Standort verlassen, was die Kontrolle darüber, wer eine Freigabe erreichen kann, zu einer hochwertigen Sicherheitsmaßnahme macht.
SMB zu sichern versteht man am besten in Schichten: wer die Freigabe erreichen kann, wie die Bytes während der Übertragung geschützt sind und was ein Benutzer nach der Verbindung tun kann. Access Gate übernimmt die erste Schicht und ergänzt die beiden anderen.
SMB-Versionen entscheiden, was möglich ist
Die auf einer Freigabe ausgehandelte Protokollversion legt den Sicherheits-Mindeststandard fest, und alte Versionen sind ein echtes Risiko:
- SMBv1. Veraltet und gefährlich. Es ist der Vektor hinter EternalBlue und dem Großteil der über SMB übertragenen Ransomware (
T1021.002), hat keine nennenswerte Verschlüsselung und eine schwache Signierung. Es sollte überall deaktiviert sein; wenn ein Legacy-Gerät nur SMBv1 spricht, hat die Isolierung hinter dem Gate Priorität. - SMB 2.x. Unterstützt Signierung (Integrität und Manipulationsschutz), aber keine Verschlüsselung.
- SMB 3.x. Fügt Verschlüsselung (AES-CCM, und AES-GCM in 3.1.1) und eine stärkere Signierung hinzu. Dies ist die eigene Vertraulichkeit von SMB auf dem Draht, zwischen Client und Server ausgehandelt, unabhängig von jedem Tunnel.
Die praktische Folge: Auf einem modernen Client und Server erhalten Sie Vertraulichkeit auf dem Draht durch SMB3 selbst. Auf Legacy-Geräten können Sie das nicht, und die Erreichbarkeitskontrolle des Gates wird zum tragenden Schutz.
Drei Schichten zum Schutz einer Freigabe
Schicht 1: steuern, wer die Freigabe erreicht (Access Gate)
Dies ist die Schicht, die Access Gate bereitstellt, und die wertvollste angesichts des Ransomware- und Exfiltrationsrisikos.
Fügen Sie zunächst den Dateiserver als Asset hinzu, definieren Sie seinen SMB-Dienst und platzieren Sie ihn in einer Enklave mit einer allow-Regel, die Zugriff gewährt. Siehe Ein Asset mit Enklaven schützen und Zugriffskontrolllisten.
Richten Sie den Client mit der Overlay-IP von Access Gate auf die Freigabe, statt mit der Rohadresse des Dateiservers. Die Session wird über das Gate vermittelt.
Die Verbindung wird hergestellt und Pakete fließen durch das Gate.
Bislang wird der Zugriff durch Netzwerkrichtlinien gewährt. Fügen Sie einen Access Screen hinzu, um vom Benutzer eine Authentifizierung zu verlangen, bevor die Freigabe erreichbar ist, und machen Sie aus der Erreichbarkeit eine identitätsgeprüfte Berechtigung. Siehe Benutzer mit Access Screens authentifizieren.
Der Benutzer muss sich nun über den Access Screen authentifizieren, bevor der Zugriff gewährt wird. Bis dahin bleibt die Freigabe unerreichbar.
Das Gate erkennt und protokolliert jede SMB-Session, die es vermittelt:
Schicht 2: die Bytes auf dem Draht schützen (SMB3)
Wenn Client und Server beide SMB 3.x sprechen, aktivieren Sie die Verschlüsselung und verlangen Sie die Signierung auf der Freigabe. Die Signierung stoppt SMB-Relay- und Manipulationsangriffe; die Verschlüsselung bietet Vertraulichkeit ohne jeden Tunnel. Dies ist das native Äquivalent von SMB zur Sicherheit auf Nachrichtenebene: sie wird beidseitig ausgehandelt und benötigt keinen Terminator. Unter Windows wird dies pro Freigabe oder serverweit gesetzt (Set-SmbServerConfiguration -EncryptData $true, und die Signierung verlangen). Behandeln Sie es als Standard für jede moderne Freigabe, die sensible Dateien transportiert.
Bei einem Legacy-Client oder -Server, der keine SMB3-Verschlüsselung beherrscht, ist der Draht von sich aus ungeschützt, und die Isolierung aus Schicht 1 plus ein vertrauenswürdiger Netzwerkpfad werden zur Geschichte der Vertraulichkeit. Sagen Sie das ehrlich, statt anzunehmen, die Bytes seien verschlüsselt.
Schicht 3: was der Benutzer tun kann (serverseitige Berechtigungen)
Das Gate entscheidet, wer die Freigabe erreicht; der Dateiserver entscheidet weiterhin, was der Benutzer tun darf, sobald er dort ist. Behalten Sie Freigabe- und NTFS-Berechtigungen als eigene Schicht nach dem Prinzip der minimalen Rechte. Das Gate ersetzt sie nicht, es setzt eine identitätsgeprüfte Eingangstür davor.
Hinweise und Stolpersteine
- Deaktivieren Sie zuerst SMBv1. Bevor Sie etwas anderes optimieren, stellen Sie sicher, dass SMBv1 in der gesamten Flotte abgeschaltet ist; jedes Gerät, das es noch benötigt, hinter dem Gate zu isolieren, hat Priorität.
- Schichten, keine Alternativen. Gate-Erreichbarkeit, SMB3-Verschlüsselung und Serverberechtigungen verteidigen jeweils einen anderen Fehlerfall. Nutzen Sie alle drei.
Zusammenfassung
Sie haben eine Freigabe in Schichten gesichert: eine Access-Gate-Enklave und einen Access Screen, sodass die Erreichbarkeit über Port 445 zu einer identitätsgeprüften Berechtigung wird, SMB3-Signierung und -Verschlüsselung, damit die Bytes auf dem Draht geschützt sind, und serverseitige Berechtigungen, sodass ein verbundener Benutzer weiterhin nur das tun kann, wozu er berechtigt ist.
Greifen Sie dazu, um zu kontrollieren, wer eine Windows-Dateifreigabe über Port 445 erreichen kann, ein häufiger Weg für die Verbreitung von Ransomware und den Abfluss von Daten, während der native SMB3-Schutz und die serverseitigen Berechtigungen die Schichten dahinter bleiben.