Cómo desactivar o limitar de forma segura el servicio de nombres NetBIOS (UDP 137) en Windows

Los profesionales de TI y los administradores de sistemas se topan a menudo con tráfico NetBIOS heredado en el puerto UDP 137, que amplía la superficie de ataque y puede interrumpir servicios si se gestiona mal. En esta guía verás cómo desactivar o limitar de forma segura el puerto TCP 137 en Windows sin perder la funcionalidad heredada que aún necesites.

7 consejos para gestionar las dependencias de NetBIOS y la seguridad de la red

Antes de ponerte con este flujo de trabajo, asegúrate de contar con los accesos y las herramientas necesarias.

• Una ventana de mantenimiento planificada y un grupo piloto para el despliegue por fases
• Un inventario actualizado de red y hosts, con los detalles de subredes y adaptadores
• Acceso a un escáner (por ejemplo, nmap) para la validación y a un registro centralizado
• Permisos para aplicar reglas de Windows Defender Firewall y ajustes de adaptador mediante GPO o MDM

Con estos requisitos cubiertos, podrás detectar, bloquear o desactivar el puerto UDP 137 sin provocar interrupciones imprevistas.

1. Detecta dónde se usa UDP 137

Localizar los equipos que ya escuchan en el puerto UDP 137 evita interrupciones accidentales del servicio.

Para empezar, ejecuta una detección de redes o escaneos específicos que te den la lista de hosts que responden en UDP 137. Después, cruza los resultados con tu inventario para identificar los servicios heredados.

Esos «listeners» son PC con Windows de la red local que dependen de NetBIOS para la resolución de nombres y para compartir archivos e impresoras. Los entornos modernos, en cambio, suelen usar DNS y SMB sobre TCP 445.

Una vez tengas ese inventario, puedes limitar o desactivar el puerto con seguridad.

2. Bloquea UDP 137 en el perímetro y en los segmentos no confiables

Para reducir la exposición, bloquea UDP 137 en el perímetro de la red y en los segmentos no confiables. Aplica reglas de denegación de entrada y de salida para UDP 137 en los firewalls del borde de internet, y deniega el puerto de forma explícita en las VLAN de invitados, de IoT y no gestionadas.

Una vez aplicadas las reglas, comprueba que los escáneres externos no pueden alcanzar el puerto UDP 137 desde redes públicas. Este bloqueo perimetral limita la superficie de ataque mientras evalúas y gestionas las dependencias internas que queden.

3. Desactiva NetBIOS sobre TCP/IP en Windows

Antes de desactivarlo, comprueba que la resolución DNS y los servicios modernos de resolución de nombres que necesites (LLMNR o mDNS, si están habilitados) funcionan correctamente. Después, desactiva NetBIOS en los hosts que ya no lo necesiten. Si usas NinjaOne, puedes configurar NetBIOS con este script.

Configura cada adaptador de red para desactivar NetBIOS en las propiedades de IPv4 y, a continuación, aplica el ajuste de forma centralizada con un objeto de directiva de grupo o un perfil de MDM para que sea uniforme. Como con cualquier cambio en la red, despliégalo primero en un grupo piloto para probarlo.

4. Limita las reglas internas de permiso a las necesidades heredadas documentadas

Si algunos sistemas siguen necesitando NetBIOS, crea reglas de firewall muy concretas que permitan UDP 137 solo entre las subredes cliente específicas y los servidores heredados identificados. Por ejemplo, aplica las reglas por grupo de seguridad o por unidad organizativa y deniega el resto del tráfico UDP en el puerto 137.

5. Valida y supervisa la corrección

Después de aplicar los bloqueos y los permisos limitados, comprueba que UDP 137 ya no escucha en los hosts ejecutando netstat -an | find «137» en local y escanea desde un cliente representativo con nmap -sU -p 137. Revisa los registros del firewall y de seguridad durante al menos un ciclo completo de bloqueo para detectar tráfico inesperado o intentos fallidos de resolución de nombres.

6. Elimina las dependencias heredadas

Antes de desactivar NetBIOS por completo, elimina las dependencias que queden.

Con estos cambios aplicados, el entorno ya no depende de NetBIOS, así que puedes bloquear el puerto UDP 137 con total seguridad.

7. Controla las excepciones y su ciclo de vida

Mantén el control de las rutas en las que permitas UDP 137 tratándolas como excepciones temporales. Después, limita estos casos aislados a grupos, subredes o unidades organizativas concretas.

En cuanto al mantenimiento y la supervisión, incluye revisiones periódicas de UDP 137 en tu plan de hardening de seguridad y en las auditorías trimestrales de referencia.

Gestiona los riesgos de seguridad de NetBIOS con NinjaOne

Como los servicios NetBIOS abiertos se pueden aprovechar para enumerar equipos, suplantar identidades y lanzar ataques de denegación de servicio, necesitas controles más estrictos. Revisa tus políticas de red para reducir al mínimo la exposición de los servicios NetBIOS.

Después, valora la posibilidad de implantar métodos modernos de resolución de nombres basados en DNS, como DNS, LLMNR o mDNS. Por último, usa la capacidad de scripting de NinjaOne para desactivar NetBIOS de forma uniforme en todos los dispositivos, con supervisión continua de la red e informes gracias a la monitorización de red.

Temas relacionados:

• Qué es un solucionador de DNS y cómo configurarlo
• Cómo configurar un servidor DNS: guía paso a paso
• Qué es la configuración de un firewall y cómo configurar el tuyo
• Cómo configurar excepciones de firewall con PowerShell [NinjaOne Script Hub]
• Cómo monitorizar conexiones TCP y UDP en Windows con PowerShell [NinjaOne Script Hub]