SMB (Server Message Block) ist das Protokoll hinter Windows-Dateifreigaben, Netzlaufwerken und den Ordnern, in denen Dokumente, Engineering-Dateien und PLC-Programme gespeichert sind. Es läuft über TCP-Port 445 (Legacy 139) und ist in der IT allgegenwärtig – und wird zunehmend auch in OT-Umgebungen für den Transfer von Rezepten, Programmen und Berichten eingebunden. Es ist außerdem einer der häufigsten Wege, über den sich Ransomware verbreitet und Daten einen Standort verlassen, was die Kontrolle darüber, wer eine Freigabe erreichen kann, zu einer hochwertigen Sicherheitsmaßnahme macht.
Access Gate vermittelt SMB, sodass nur die richtigen Personen und Systeme eine Freigabe erreichen – und mit einem Access Screen erst nach erfolgreicher Authentifizierung.
SMB mit Access Gate schützen
1. Asset, Dienst und Enclave erstellen
Fügen Sie den Dateiserver als Asset hinzu, definieren Sie seinen SMB-Dienst und platzieren Sie ihn in einer Enclave mit einer allow-Regel, die den Zugriff gewährt. Siehe Ein Asset mit Enclaves schützen und Access Control Lists.
2. Über die Overlay-IP mit der Freigabe verbinden
Richten Sie den Client auf die Freigabe über die Overlay-IP von Access Gate aus, anstatt die direkte Adresse des Dateiservers zu verwenden. Die Sitzung wird über das Gate vermittelt.
Die Verbindung ist hergestellt und Pakete fließen durch das Gate.
Identität hinzufügen
Bisher wird der Zugriff durch Netzwerkrichtlinien gewährt. Fügen Sie einen Access Screen hinzu, um den Benutzer zur Authentifizierung zu verpflichten, bevor die Freigabe erreichbar ist – und wandeln Sie so die Erreichbarkeit in eine identitätsgeprüfte Zugriffsgewährung um.
1. Die SMB-Enclave mit einem Access Screen schützen
Aktivieren Sie einen Access Screen auf der Enclave. Siehe Benutzer mit Access Screens authentifizieren.
2. Der Benutzer authentifiziert sich
Der Benutzer muss sich nun über den Access Screen authentifizieren, bevor der Zugriff gewährt wird. Bis dahin bleibt die Freigabe unerreichbar.
Hinweise & Fallstricke
- Serverseitige Berechtigungen als zweite Schicht beibehalten. Das Gate entscheidet, wer die Freigabe erreicht; der Dateiserver entscheidet weiterhin, was dort getan werden darf. Verwenden Sie beides.
- SMB-Version. Prüfen Sie den vermittelten Pfad gegen den SMB-Dialekt, den Ihre Server erfordern, und halten Sie SMBv1 deaktiviert.