Combattre les virus et l'infrastructure, ou désactiver SMB v1. Les dossiers partagés, les ordinateurs du réseau, les lecteurs flash, les disques ne sont pas affichés sur l'onglet "Réseau" du protocole Samba de l'Explorateur Windows et de Windows 10

PME ou Bloc de message du serveur est un protocole de communication réseau pour le partage de fichiers, imprimantes et autres divers appareils... Il existe trois versions de SMB: SMBv1, SMBv2 et SMBv3. Pour des raisons de sécurité, Microsoft recommande de désactiver SMB version 1 car elle est obsolète et utilise une technologie vieille de près de 30 ans. Pour éviter d'être infecté par un ransomware comme WannaCrypt, vous devez désactiver SMB1 et installer les mises à jour du système d'exploitation. Ce protocole est utilisé par Windows 2000, Windows XP, Windows Server 2003 et Windows Server 2003 R2 - par conséquent, l'accès aux fichiers réseau à ces versions de système d'exploitation ne sera pas disponible. La même chose s'applique à certains appareils NAS, scanners, etc.

Déconnexion de SMB1 du panneau de commande

Démarrer -\u003e Panneau de configuration -\u003e Programmes et fonctionnalités -\u003e Activer ou désactiver les fonctionnalités Windows

Désactiver le support accès général aux fichiers SMB 1.0 / CIFS '

Désactiver SMB1 via Powershell

Ouvrez une console Powershell avec des droits d'administrateur et entrez la commande suivante:

Set-ItemProperty -Path "HKLM: \\ SYSTEM \\ CurrentControlSet \\ Services \\ LanmanServer \\ Parameters" SMB1 -Type DWORD -Valeur 0 -Force

Désactivez SMB1 à l'aide du registre Windows

Vous pouvez également désactiver SMBv1 en exécutant regedit.exe et passer à la section suivante:

Créez un DWORD dans cette section SMB1 avec le sens 0 .

Valeurs pour activer et désactiver SMB1:

• 0 \u003d Désactivé
• 1 \u003d activé

Après cela, vous devez installer la mise à jour MS17-010.La mise à jour a été publiée pour toutes les versions de Windows, y compris Windows XP et Windows Server 2003 qui ne sont plus pris en charge.

Et en conclusion, je voudrais dire que, malgré antivirus installé et des mises à jour régulières du système d'exploitation, si vos données vous sont chères, vous devez d'abord penser à la sauvegarde.

Pourquoi et comment désactiver SMB1 dans Windows 10/8/7

Si vous à partir de Windows 10 ne pouvez pas ouvrir les dossiers réseau sur d'autres périphériques réseau (NAS, Samba serveur Linux) ou sur des ordinateurs équipés d'anciennes versions de Windows (Windows 7 / XP / 2003), le problème est probablement lié au fait que votre nouvelle version Windows 10 a désactivé la prise en charge des versions obsolètes et non sécurisées du protocole SMB (utilisé dans Windows pour accéder aux dossiers et fichiers réseau partagés). Ainsi, à partir de Windows 10 1709, le protocole SMBv1 et l'accès anonyme (invité) aux dossiers réseau à l'aide du protocole SMBv2 ont été désactivés.

Microsoft désactive systématiquement les anciennes versions non sécurisées du protocole SMB dans tous dernières versions Les fenêtres. À partir de Windows 10 1709 et Windows Server 2019 (à la fois dans Datacenter et Standard) dans le système d'exploitation par défaut (rappelez-vous l'attaque qui a été implémentée à travers le trou dans SMBv1).

Les étapes spécifiques à suivre dépendent de l'erreur qui apparaît dans Windows 10 lors de l'accès à un dossier partagé et des paramètres du serveur SMB distant qui stocke les dossiers partagés.

Vous ne pouvez pas obtenir l'accès invité à un dossier partagé sans authentification

À partir de Windows 10 version 1709 (Fall Creators Update) Entreprise et Éducation, les utilisateurs ont commencé à se plaindre qu'en essayant d'ouvrir un dossier réseau sur un ordinateur à proximité, une erreur a commencé à apparaître:

Vous ne pouvez pas accéder à ce dossier partagé car les stratégies de sécurité de votre organisation bloquent l'accès invité non authentifié. Ces stratégies aident à protéger votre ordinateur contre les périphériques dangereux ou malveillants sur le réseau. Une erreur s'est produite lors de la reconnexion de Y: à \\\\ nas1 \\ share Microsoft Windows Réseau: vous ne pouvez pas accéder à ce dossier partagé, car les politiques de sécurité de votre organisation bloquent l'accès invité non authentifié. Ces politiques aident à protéger votre PC contre les périphériques dangereux ou malveillants sur le réseau.

Dans le même temps, sur d'autres ordinateurs avec d'anciennes versions de Windows 8.1 / 7 ou sur Windows 10 avec une build jusqu'à 1709, les mêmes répertoires réseau s'ouvrent normalement. Ce problème est dû au fait que dans les versions modernes de Windows 10 (à partir de 1709) est désactivé par défaut l'accès au réseau aux dossiers réseau sous l'invité compte via le protocole SMBv2 (et ci-dessous). L'accès invité (anonyme) signifie l'accès à un dossier réseau sans authentification. Lors de l'accès sous un compte invité à l'aide du protocole SMBv1 / v2, des méthodes de protection du trafic telles que la signature SMB et ne sont pas appliquées, ce qui rend votre session vulnérable aux attaques MiTM (man-in-the-middle).

Lorsque vous essayez d'ouvrir un dossier réseau sous un invité à l'aide du protocole SMB2, une erreur est enregistrée dans le journal du client SMB (Microsoft-Windows-SMBClient):

Source: Microsoft-Windows-SMBClient ID d'événement: 31017 Rejeté une ouverture de session d'invité non sécurisée.

Dans la plupart des cas, ce problème peut survenir lors de l'utilisation d'anciennes versions de NAS (elles incluent généralement un accès invité pour faciliter la configuration) ou lors de l'accès aux dossiers réseau sur d'anciennes versions de Windows 7/2008 R2 ou Windows XP / 2003 avec un accès (invité) configuré ( voir dans différentes versions Les fenêtres).

Dans ce cas, Microsoft recommande de modifier les paramètres en ordinateur distant ou un périphérique NAS qui partage des dossiers réseau. Il est conseillé de basculer la ressource réseau en mode SMBv3. Et si seul SMBv2 est pris en charge, configurez l'accès d'authentification. C'est le moyen le plus correct et le plus sûr de résoudre le problème.

En fonction de l'appareil sur lequel les dossiers réseau sont stockés, vous devez désactiver l'accès invité sur ceux-ci.

Il existe un autre moyen: modifier les paramètres de votre client SMB et autoriser l'accès de celui-ci aux dossiers réseau sous un compte invité.

Pour autoriser l'accès invité depuis votre ordinateur, ouvrez l'éditeur de stratégie de groupe (gpedit.msc) et accédez à la section: Configuration ordinateur -\u003e Modèles d'administration -\u003e Réseau -\u003e Poste de travail Lanman ( Configuration ordinateur -\u003e Modèles d'administration -\u003e Réseau -\u003e Station de travail Lanman). Activer la politique Activer les connexions d'invité non sécurisées.

Ceux. le message d'erreur montre clairement que le dossier réseau ne prend en charge que le protocole d'accès SMBv1. Dans ce cas, vous devez essayer de reconfigurer le périphérique SMB distant pour prendre en charge au moins SMBv2 (chemin correct et sécurisé).

Si les dossiers réseau sont partagés par Samba sous Linux, vous pouvez spécifier la version SMB minimale prise en charge dans le fichier smb.conf comme suit:

Protocole minimal du serveur \u003d protocole maximal du client SMB2_10 \u003d protocole minimal du client SMB3 \u003d mots de passe de chiffrement SMB2_10 \u003d vrai restreindre anonyme \u003d 2

Sur Windows 7 / Windows Server 2008 R2, vous pouvez désactiver SMBv1 et autoriser SMBv2 comme suit:
Set-ItemProperty -Path "HKLM: \\ SYSTEM \\ CurrentControlSet \\ Services \\ LanmanServer \\ Parameters" SMB1 -Type DWORD -Valeur 0 -Force

Désactiver-WindowsOptionalFeature -Online -FeatureName "SMB1Protocol"
Set-SmbServerConfiguration –EnableSMB2Protocol $ true

Si votre périphérique réseau (NAS, Windows XP, Windows Server 2003) prend uniquement en charge le protocole SMB1, dans Windows 10, vous pouvez activer le composant SMB1Protocol-Client séparé. Mais ce n'est pas recommandé !!!

Démarrez la console PowerShell et vérifiez que SMB1Protocol-Client est désactivé (état: désactivé):

Get-WindowsOptionalFeature -Online -FeatureName SMB1Protocol-Client

Activez la prise en charge du protocole SMBv1 (redémarrage requis):

Enable-WindowsOptionalFeature -Online -FeatureName SMB1Protocol-Client

Vous pouvez également activer / désactiver des composants Windows 10 (y compris SMBv1) à partir de optionalfeatures.exe -\u003e Prise en charge du partage de fichiers SMB 1.0 / CIFS

Dans Windows 10 1709 et versions ultérieures, le client SMBv1 est automatiquement supprimé s'il n'a pas été utilisé pendant plus de 15 jours (la suppression automatique de SMB 1.0 / CIFS en est responsable).

Dans cet exemple, j'ai uniquement activé le client SMBv1. N'activez pas le composant SMB1Protocol-Server à moins que les clients hérités n'utilisent votre ordinateur comme serveur pour stocker les dossiers partagés.

Après avoir installé le client SMBv1, vous devez vous connecter à un dossier ou une imprimante réseau sans aucun problème. Cependant, il faut comprendre que cette solution de contournement n'est pas recommandée car met votre système en danger.

annotation

Cet article décrit les procédures d'activation et de désactivation protocole serveur Message Block (SMB) version 1, SMB version 2 (SMBv2) et SMB version 3 (SMBv3) dans les composants client et serveur SMB.

Avertissement. Nous vous déconseillons de désactiver SMB v2 ou 3. La désactivation de SMB v2 ou 3 ne doit être utilisée que comme mesure de dépannage temporaire. Ne laissez pas la version SMB 2 ou 3 désactivée.

Sous Windows 7 et Windows Server 2008 R2, la désactivation de SMB version 2 désactivera les éléments suivants fonctionnalité.

• Combinaison de requêtes, permettant d'envoyer plusieurs requêtes SMB 2 en une seule requête réseau.


• Volumes élevés d'opérations de lecture et d'écriture pour optimiser l'utilisation des réseaux rapides.


• Mise en cache des propriétés des fichiers et des dossiers où les clients enregistrent des copies locales de fichiers et de dossiers.


• Des descripteurs à long terme qui vous permettent de vous reconnecter de manière transparente au serveur en cas de déconnexion temporaire.


• Signatures de message améliorées où l'algorithme de hachage HMAC SHA-256 remplace MD5.


• Mise à l'échelle améliorée pour le partage de fichiers (augmentation significative du nombre d'utilisateurs, de ouvrir des fichiers au serveur).


• Prise en charge des liens symboliques.


• Un modèle de bail client qui limite la quantité de données transférées entre le client et le serveur pour améliorer les performances des réseaux à latence élevée et augmenter l'évolutivité du serveur SMB.


• Grand support MTU pour une utilisation complète de 10 Gigabit Ethernet.


• Consommation d'énergie réduite - Les clients avec des fichiers ouverts sur le serveur peuvent être en mode veille.

• Basculement transparent, où les clients basculent vers les nœuds de cluster pendant la maintenance ou la panne sans interruption.


• Mise à l'échelle - avec la fourniture d'un accès simultané aux données partagées sur tous les nœuds du cluster.


• Le multicanal fournit une agrégation de bande passante canal réseau et la résilience du réseau dans les divers canaux disponibles entre le client et le serveur.


• SMB Direct - Prend en charge les réseaux RDMA pour fournir haute performance, faible latence et faible utilisation du processeur.


• Chiffrement - Fournit un chiffrement de bout en bout des données et les protège des écoutes clandestines sur des réseaux non approuvés.


• La location d'annuaire réduit les temps de réponse des applications dans les succursales grâce à la mise en cache.


• Optimisez les performances pour les petites opérations de lecture et d'écriture aléatoires.

Information additionnelle

Comment activer et désactiver les protocoles SMB sur un serveur SMB

Windows 8 et Windows Server 2012

• Pour activer le protocole SMB version 1 sur un client SMB, exécutez les commandes suivantes:

  
  sc.exe config mrxsmb10 start \u003d auto

• Pour désactiver les versions 2 et 3 de SMB sur un client SMB, exécutez les commandes suivantes:

  sc.exe config lanmanworkstation dépend \u003d bowser / mrxsmb10 / nsi
  sc.exe config mrxsmb20 start \u003d désactivé

• Pour activer les versions 2 et 3 de SMB sur un client SMB, exécutez les commandes suivantes:

  sc.exe config lanmanworkstation dépend \u003d bowser / mrxsmb10 / mrxsmb20 / nsi
  sc.exe config mrxsmb20 start \u003d auto

• Ces commandes doivent être saisies dans ligne de commande avec des privilèges élevés.


• Après avoir effectué ces modifications, l'ordinateur doit être redémarré.

Récent à grande échelle attaques de virus se propager en utilisant les trous et les défauts de l'ancien protocole SMB1. Pour l'une des raisons insignifiantes, le fonctionnement système Windows lui permet toujours de fonctionner par défaut. Ce ancienne version protocole sert à partager des fichiers dans réseau local... Ses nouvelles versions 2 et 3 sont plus sécurisées et devraient être laissées activées. Puisque vous utilisez un nouveau système d'exploitation numéroté 10 ou le précédent - 8 ou même le déjà obsolète - 7, vous devez désactiver ce protocole sur votre PC.

Il est inclus uniquement parce que certains utilisateurs utilisent encore d'anciennes applications qui n'ont pas été mises à jour à temps pour fonctionner avec SMB2 ou SMB3. Microsoft en a compilé une liste. Trouvez-le et visualisez-le sur Internet, si nécessaire.

Si vous conservez tous vos programmes installés sur votre ordinateur en bon état (mise à jour à temps), vous devrez probablement désactiver ce protocole. Cela augmentera la sécurité de votre système d'exploitation et des données confidentielles d'une étape. À propos, même les spécialistes de la société elle-même recommandent de l'éteindre, si nécessaire.

Êtes-vous prêt à apporter des modifications? Alors continuons.

SMB1

Ouvrez le Panneau de configuration, allez dans la section «Programmes» et sélectionnez la sous-section «Activer / désactiver les fonctionnalités de Windows».

Dans la liste, trouvez l'option «Prise en charge du partage de fichiers SMB 1.0 / CIFS», décochez-la et cliquez sur «OK».

Redémarrez le système d'exploitation, après avoir enregistré au préalable tous vos fichiers précédemment modifiés, tels que les documents, etc.

POUR WINDOWS 7

C'est là que la modification du registre vous aidera. C'est un outil puissant du système et, si des données incorrectes y sont entrées, cela peut conduire à travail instable OS. Utilisez-le avec prudence, assurez-vous de le sauvegarder avant de le faire.

Ouvrez l'éditeur, pour lequel appuyez sur la combinaison gagner des clés + R sur votre clavier et en tapant «regedit» dans le champ de saisie. Suivez ensuite le chemin suivant:

HKEY_LOCAL_MACHINE \\ SYSTEM \\ CurrentControlSet \\ Services \\ LanmanServer \\ Parameters

créez un nouveau DWORD 32 bits et nommez-le «SMB1» avec la valeur «0». Redémarrez votre système.

Attention! Ces méthodes fonctionnent pour désactiver le protocole sur un seul PC, mais pas sur l'ensemble du réseau. Reportez-vous à la documentation officielle de Microsoft pour les informations qui vous intéressent.

Dans la boîte de dialogueNouvelles propriétés du registresélectionnez ce qui suit:

• Acte:Créer un


• Buisson: HKEY_LOCAL_MACHINE


• Chemin de la section:SYSTEM \\ CurrentControlSet \\ Services \\ Lanman Server \\ Paramètres


• Le nom du paramètre:SMB1


• Type de valeur: REG_DWORD.


• Valeur: 0

Cela désactivera les composants serveur SMB version 1. Cette stratégie de groupe doit être appliquée à tous les postes de travail, serveurs et contrôleurs de domaine requis dans le domaine.

Remarque. Filtres WMI peut également être configuré pour exclure les non pris en charge systèmes d'exploitation ou des exceptions sélectionnées telles que Windows XP.

Attention!Soyez prudent lorsque vous apportez des modifications sur des contrôleurs où des systèmes hérités tels que Windows XP ou des systèmes Linux ultérieurs ou des systèmes tiers(qui ne prennent pas en charge SMB version 2 ou SMB version 3) nécessite l'accès à SYSVOL ou à d'autres dossiers partagés où SMB version 1 a été désactivé.

Désactiver le client SMB version 1 avec la stratégie de groupe

Pour désactiver le client SMB version 1, la clé de service de la clé de registre doit être mise à jour pour désactiver le démarrage de MRxSMB10, puis la dépendance dans MRxSMB10 doit être supprimée de l'entrée pour que LanmanWorkstation puisse s'exécuter de manière standard sans demander MRxSMB10 au premier démarrage.

Cette mise à jour remplace les valeurs par défaut dans les deux entrées de registre suivantes

HKEY_LOCAL_MACHINE \\ SYSTEM \\ CurrentControl Set \\ services \\ mrxsmb10

Paramètre: Démarrer REG_DWORD: 4 \u003d désactivé

HKEY_LOCAL_MACHINE \\ SYSTEM \\ CurrentControl Set \\ Services \\ LanmanWorkstation

Paramètre: DependOnService REG_MULTI_SZ: «Bowser», «MRxSmb20», «NSI»

Remarque. Contient MRxSMB10 par défaut, qui est actuellement obsolète en tant que dépendance

Pour configurer à l'aide de la stratégie de groupe:

1. S'ouvrir Console de gestion stratégies de groupe ... Cliquez avec le bouton droit sur l'objet de stratégie de groupe (GPO) qui doit contenir le nouvel élément préféré, puis cliquez sur Modifier.


2. Dans l'arborescence de la console sous La configuration d'un ordinateurdéveloppez le dossier Paramètres, puis développez le dossier Paramètres Windows.


3. Cliquez avec le bouton droit sur le nœud Registre, cliquez sur Nouveau et sélectionnez Élément de registre.

Dans la boîte de dialogue Nouvelles propriétés du registre sélectionnez ce qui suit:

• Action: mettre à jour


• Bush: HKEY_LOCAL_MACHINE


• Chemin de partition: SYSTEM \\ CurrentControlSet \\ services \\ mrxsmb 10


• Nom du paramètre: Start


• Type de valeur: REG_DWORD.


• Valeur des données: 4

Supprimez ensuite la dépendance dans MRxSMB10 qui a été désactivée

Dans la boîte de dialogue Nouvelles propriétés du registre sélectionnez ce qui suit:

• Action: remplacer


• Bush: HKEY_LOCAL_MACHINE


• Chemin de clé: SYSTEM \\ CurrentControlSet \\ Services \\ Lanman Workstation


• Nom du paramètre: DependOnService


• Type de paramètre REG_MULTI_SZ


• Valeur des données:
  
  
  • Bowser
  
  
  • MRxSmb20
  
  
  

Remarque. Ces trois lignes n'auront pas de marqueurs (voir ci-dessous)

Les valeurs par défaut contiennent beaucoup de MRxSMB10 versions de Windowsdonc les remplacer par une chaîne à valeurs multiples supprimera MRxSMB10 en tant que dépendance pour LanmanServer et passera des quatre valeurs par défaut aux trois décrites ci-dessus.

Remarque. Lorsque vous utilisez la console de gestion des stratégies de groupe, vous n'avez pas besoin d'utiliser des guillemets ou des virgules. Entrez simplement chaque enregistrement sur une ligne distincte comme ci-dessus

Redémarrage nécessaire:

Après avoir appliqué la stratégie et entré les paramètres de registre, SMB version 1 sera désactivé après un redémarrage du système.

annotation

Si tous les paramètres sont dans le même objet de stratégie de groupe (GPO), la gestion des stratégies de groupe affichera les paramètres ci-dessous.

Test et validation

Une fois configuré, autorisez la stratégie à se répliquer et à mettre à jour. Comme cela est nécessaire pour les tests, exécutez gpupdate / force à partir de la ligne CMD.EXE, puis observez les ordinateurs cibles pour vous assurer que les paramètres de registre sont correctement appliqués. Assurez-vous que SMB version 2 et SMB version 3 fonctionnent pour tous les systèmes de votre environnement.

Attention! N'oubliez pas de redémarrer les systèmes cibles.