Puntos clave
- Conciencia del riesgo de SMB: el puerto TCP 445 es imprescindible para el funcionamiento de SMB, pero supone riesgos de seguridad importantes si se expone a redes públicas o no confiables.
- Identifica las dependencias: mapear servidores SMB, clientes y flujos de trabajo te permite delimitar el alcance con seguridad y evitar romper operaciones críticas.
- Delimita y bloquea el tráfico: bloquea el puerto TCP 445 en el perímetro y en las zonas no confiables, y permite solo las rutas SMB internas aprobadas.
- Refuerza SMB: mejora la seguridad de SMB desactivando SMB1, habilitando la firma y usando alternativas modernas como SMB sobre QUIC.
- Despliega y gobierna: implementa las reglas de forma segura, vigila posibles interrupciones y mantén un control estricto de las excepciones para una protección duradera.
El puerto 445 da soporte a Server Message Block (SMB, el protocolo de uso compartido de archivos de Windows, que no debe confundirse con las pymes como término de audiencia). SMB permite a los usuarios compartir archivos, impresoras y otros recursos de los dispositivos.
Esta guía ofrece un marco independiente del proveedor que los equipos de TI y los MSP pueden usar para bloquear o delimitar con seguridad el puerto TCP 445 en Windows.
La actividad de red no autorizada añade riesgos innecesarios.
→ Prueba la supervisión de TI en tiempo real para la TI de la empresa
¿Cómo puedo proteger el puerto 445? Guía paso a paso
Aunque bloquear el puerto TCP 445 parece una solución lógica, hacerlo puede interrumpir las operaciones del dominio, las transferencias de archivos y flujos de trabajo de gestión críticos. Los pasos siguientes explican cómo los administradores de TI pueden mitigar los riesgos asociados al puerto TCP 445 sin provocar interrupciones operativas.
📌 Requisitos previos: los siguientes elementos permiten ejecutar los pasos de abajo con mayor eficiencia:
- Inventario de servicios y hosts que dependen de SMB
- Definición de la ventana de cambios y selección del anillo piloto
- Capacidad de desplegar Windows Defender Firewall o reglas equivalentes mediante GPO o MDM
- Registro centralizado de eventos del firewall y de fallos de autenticación
Paso 1: identifica dónde se necesita SMB
Server Message Block (SMB) es un protocolo de comunicación en red que permite a los equipos compartir archivos, impresoras, puertos serie y otros recursos a través de una red. Saber dónde se necesita SMB y cuáles son las rutas SMB legítimas dentro de tu organización es el primer paso para reducir los riesgos asociados al puerto TCP 445.
Este primer paso implica:
- Identificar los servidores de archivos, controladores de dominio, servidores de impresión y recursos compartidos administrativos que deben seguir siendo accesibles.
- Mapear los grupos de clientes que acceden legítimamente a esos servidores.
- Anotar los casos de uso de acceso remoto y las alternativas, como VPN, SMB sobre QUIC o pasarelas de archivos. La compatibilidad con SMB sobre QUIC se extiende ahora a todas las ediciones de Windows Server 2025 (antes solo a Azure Edition), lo que lo convierte en una opción más accesible para proteger el acceso remoto por SMB sin exponer el puerto TCP 445.
Paso 2: bloquea el puerto TCP 445 en el perímetro y en las zonas no confiables
Bloquear el puerto TCP 445 en las zonas no confiables es fundamental, ya que reduce la exposición a las ciberamenazas. Además, es esencial asegurarte de que el tráfico SMB nunca quede expuesto al borde de internet, para evitar ataques SMB procedentes de la red.
Estas son algunas formas de proteger el puerto TCP 445 en esas zonas:
Bloqueos en el perímetro
Aplica el bloqueo del puerto 445 entrante y saliente en el firewall o en el borde del cloud para eliminar amenazas procedentes de internet, como escáneres, exploits y cargas de ransomware.
Protecciones por segmentación
Los segmentos no confiables o no gestionados —como el wifi de invitados, los sensores IoT y los dispositivos BYOD— no deberían poder comunicarse con los servicios SMB corporativos.
Protección de los usuarios remotos
Asegúrate de que los endpoints remotos no publiquen accidentalmente el puerto 445 en redes domésticas o públicas. Aplica reglas del firewall del host para bloquear el SMB entrante salvo cuando el equipo esté en una red de dominio de confianza.
Paso 3: delimita el acceso interno con el mínimo privilegio
Limitar el acceso interno de los usuarios reduce el tráfico interno y, con ello, contiene el movimiento lateral. Al establecer protocolos de acceso interno basados en privilegios, los administradores de TI pueden garantizar que solo prosperen los flujos SMB aprobados.
Algunas formas de hacerlo son:
- Crear reglas del firewall de Windows que permitan el puerto 445 solo entre subredes de cliente aprobadas y hosts SMB aprobados
- Aplicar las excepciones mediante políticas basadas en grupos y mantener una lista de permitidos explícita
- Denegar el resto del tráfico por el puerto 445 dentro de la LAN y en los enlaces entre sedes
Paso 4: refuerza SMB antes y después del bloqueo
Reforzar SMB es un paso esencial para bloquear o delimitar con seguridad el puerto TCP 445. De hecho, en la mayoría de las organizaciones debería formar parte de una estrategia de defensa en profundidad. Este paso mejora la seguridad del protocolo SMB y reduce los intentos exitosos de autenticación y de retransmisión, incluso en rutas bloqueadas.
Algunas prácticas que puedes incorporar son:
- Desactivar SMB1 en todos los sistemas
- Exigir la firma SMB de forma predeterminada
- Revisar la configuración del controlador de dominio y del servidor de archivos
- Usar SMB sobre QUIC en escenarios remotos para evitar exponer el puerto 445 entre redes
Paso 5: despliega las reglas mediante GPO o MDM
Los pasos anteriores se centraban en mejorar la seguridad; este aborda el despliegue en los distintos endpoints de tu red. Desplegar estos cambios mediante GPO o MDM permite a los administradores de TI aplicar nuevas políticas de forma segura y reversible. Además, implementar los cambios por GPO o MDM ayuda a detectar más rápido cualquier fallo imprevisto y a corregirlo con mayor eficiencia.
Algunas buenas prácticas son:
- Probar con un anillo piloto reducido y habilitar el registro detallado del firewall
- Implementar las reglas entrantes y salientes con una precedencia clara y documentación
- Tener preparado un script de reversión probado para eliminar o relajar rápidamente las reglas si hace falta
Paso 6: verifica y supervisa los cambios
Las actualizaciones de tu entorno deben estar siempre documentadas, ser verificables y estar supervisadas. Este paso permite a los administradores de TI comprobar que los cambios funcionan como se esperaba y que no interrumpen flujos de trabajo críticos.
En esta fase conviene aplicar estas prácticas:
- Probar la accesibilidad de la red con Test-NetConnection -ComputerName <server> -Port 445
- Validar el acceso a los recursos compartidos, el procesamiento de GPO y la autenticación, cuando corresponda
- Revisar los registros del firewall en busca de denegaciones, sobre todo si coinciden con tickets del servicio de asistencia
- Ajustar las listas de permitidos según los datos observados
Paso 7: gobierna las excepciones y su ciclo de vida
Por último, mantener un buen gobierno garantiza un control adecuado sobre los protocolos SMB y evita que proliferen excepciones descontroladas que, con el tiempo, debilitan la seguridad.
Es un paso continuo, igual que la supervisión, e implica:
- Llevar un registro del responsable, el motivo y la fecha de caducidad de cada excepción del puerto 445
- Revisar las excepciones de forma constante (normalmente cada mes) y eliminarlas o endurecer la seguridad cuando sea posible y necesario
- Añadir los controles necesarios a tu línea base de refuerzo y auditarla en revisiones trimestrales
Integra NinjaOne en tus protocolos SMB
Con NinjaOne, los administradores de TI pueden gestionar la infraestructura de TI de forma estratégica. Estas son algunas formas de sumarlo a tu estrategia de seguridad:
Despliegue de reglas de firewall
NinjaOne te ayuda a delimitar y automatizar las configuraciones de seguridad en toda tu red, incluido el despliegue de scripts y políticas que respaldan la gestión de reglas de firewall en los endpoints gestionados.
Registro completo
Con la plataforma, los administradores de TI pueden recopilar registros detallados de autenticación y seguridad, hacer seguimiento del uso del protocolo SMB e identificar posibles incidentes de seguridad. Además, la función de informes de NinjaOne permite generar informes completos de excepciones para las revisiones mensuales con los clientes.
Supervisión proactiva
Ve un paso por delante con protocolos de supervisión proactiva. Te permiten detectar la presencia de SMB1, generar alertas y lanzar automáticamente los scripts de corrección adecuados (disponibles en NinjaOne). Combinadas con el resto de tus medidas de seguridad, estas funciones ayudan a mantener tu red protegida frente a los riesgos.
Unifica tus herramientas de supervisión de TI en una sola consola fácil de usar.
Protege tu red con medidas de seguridad para el puerto TCP 445
Bloquear o delimitar estrictamente el puerto TCP 445 reduce de forma significativa el riesgo asociado a SMB cuando se hace con una fase de descubrimiento, un despliegue por etapas y una verificación continua. Combina los controles de red con el refuerzo de SMB y una gestión disciplinada de las excepciones para lograr una protección duradera.
Temas relacionados:
- Cómo activar o desactivar el protocolo de uso compartido de archivos SMB1 en Windows
- Cómo activar o desactivar «Bloquear todas las conexiones entrantes» en el Firewall de Windows
- Cómo configurar excepciones del firewall con PowerShell [Script Hub]
- ¿Qué es el Protocolo de control de transmisión (TCP/IP)?
