Windows 11: Una maggiore sicurezza di rete con la rimozione delle regole del firewall SMB1

Windows 11, l’ultima versione del sistema operativo di Microsoft, introduce importanti miglioramenti nella sicurezza di rete. In particolare, a partire dalla build 25992 del canale Insider Preview Canary, non verranno più aggiunte regole del firewall Windows Defender per SMB1 durante la creazione di nuove condivisioni SMB. Questo cambiamento rappresenta un importante passo avanti nella protezione della rete e si avvicina al comportamento del ruolo “File Server” di Windows Server.

Miglioramenti nel firewall di Windows 11

Prima di questo cambiamento, a partire da Windows XP SP2, la creazione di condivisioni SMB comportava l’aggiunta automatica di regole del firewall all’interno del gruppo “File and Printer Sharing” per i profili di firewall specificati. Tuttavia, a partire da Windows 11, verrà configurato il nuovo gruppo “File and Printer Sharing (Restrictive)“, escludendo le porte NetBIOS in ingresso 137-139, che sono artefatti di SMB1. Questa modifica aumenta notevolmente il livello di sicurezza predefinito della rete e avvicina le regole del firewall SMB al comportamento del ruolo “File Server” di Windows Server.

Gli amministratori possono comunque configurare il gruppo “File and Printer Sharing” se necessario e modificare questo nuovo gruppo del firewall. Inoltre, è previsto che in future versioni vengano aggiornate queste regole per rimuovere anche le porte ICMP, LLMNR e Spooler Service, limitando l’accesso solo alle porte necessarie per la condivisione SMB.

Miglioramenti nel client SMB di Windows 11

Oltre ai miglioramenti nel firewall, Windows 11 introduce anche importanti miglioramenti nel client SMB. Ora è possibile stabilire connessioni con un server SMB tramite TCP, QUIC o RDMA su porte di rete personalizzate diverse dai valori predefiniti. In precedenza, SMB supportava solo TCP/445, QUIC/443 e RDMA iWARP/5445.

Questi miglioramenti fanno parte di un ampio sforzo per rafforzare la sicurezza di Windows e Windows Server. Ad esempio, con la build 25982 del canale Insider Preview Canary, gli amministratori possono ora impostare l’obbligo di crittografia del client SMB per tutte le connessioni in uscita. Richiedendo che tutti i server di destinazione supportino SMB 3.x e la crittografia, gli amministratori di Windows possono garantire che tutte le connessioni siano sicure, riducendo così i rischi di intercettazione e attacchi di ascolto.

Protezione contro attacchi NTLM

Windows 11 offre anche nuove opzioni per proteggersi dagli attacchi NTLM. A partire dalla build 25951 del canale Insider Preview, è possibile configurare i sistemi Windows 11 per bloccare l’invio automatico dei dati NTLM tramite SMB su connessioni remote in uscita, per contrastare attacchi come il pass-the-hash, il relay NTLM o il cracking delle password.

Inoltre, a partire dalla build 25381 del canale Insider Preview, Microsoft richiede la firma SMB (security signatures) per impostazione predefinita per tutte le connessioni. Questa misura di sicurezza aiuta a difendersi dagli attacchi di relay NTLM.

Disabilitazione del protocollo SMB1

La rimozione delle regole del firewall SMB1 in Windows 11 fa parte di un processo più ampio di disabilitazione del protocollo di condivisione file SMB1. Questo protocollo è stato utilizzato per molti anni, ma presenta vulnerabilità significative. Nel 2021, Microsoft ha annunciato la fase finale della disabilitazione di SMB1 per gli Insider Preview di Windows 11 Home.

La disabilitazione di SMB1 è una misura importante per migliorare la sicurezza della rete. Il protocollo SMB1 è noto per le sue vulnerabilità e ha rappresentato un obiettivo per gli attaccanti. Disabilitare SMB1 riduce il rischio di sfruttamento di queste vulnerabilità e migliora la sicurezza generale del sistema.

Conclusioni

Windows 11 introduce importanti miglioramenti nella sicurezza di rete, inclusa la rimozione delle regole del firewall SMB1 per le nuove condivisioni SMB. Questo cambiamento aumenta il livello di sicurezza predefinito della rete e avvicina le regole del firewall SMB al comportamento del ruolo “File Server” di Windows Server.

Inoltre, Windows 11 offre nuove opzioni per proteggersi dagli attacchi NTLM, come il blocco dell’invio dei dati NTLM tramite SMB su connessioni remote in uscita e l’obbligo della firma SMB per tutte le connessioni. Queste misure aiutano a mitigare i rischi di attacchi come il pass-the-hash, il relay NTLM o il cracking delle password.

Infine, la disabilitazione del protocollo SMB1 rappresenta un importante passo avanti nella sicurezza della rete. Disabilitando SMB1, si riduce il rischio di sfruttamento delle vulnerabilità associate a questo protocollo.

Con Windows 11, Microsoft dimostra un impegno costante per migliorare la sicurezza dei suoi sistemi operativi e proteggere gli utenti da minacce sempre più sofisticate.