{"id":898673,"date":"2026-10-14T15:42:31","date_gmt":"2026-10-14T15:42:31","guid":{"rendered":"https:\/\/www.ninjaone.com\/blog\/puerto-tcp-137\/"},"modified":"2026-10-14T15:42:32","modified_gmt":"2026-10-14T15:42:32","slug":"puerto-tcp-137","status":"publish","type":"post","link":"https:\/\/www.ninjaone.com\/es\/blog\/puerto-tcp-137\/","title":{"rendered":"C\u00f3mo desactivar o limitar de forma segura el servicio de nombres NetBIOS (UDP 137) en Windows"},"content":{"rendered":"<div class=\"in-context-cta\"><h2 style=\"margin-top: 0px;\">Puntos clave<\/h2>\n<ul>\n<li>Identifica el uso real del puerto UDP 137 antes de desactivarlo para no romper servicios heredados.<\/li>\n<li>Bloquea UDP 137 en el per\u00edmetro y en los segmentos no confiables, y perm\u00edtelo solo donde est\u00e9 documentado.<\/li>\n<li>Desactiva NetBIOS sobre TCP\/IP en Windows desde la configuraci\u00f3n del adaptador, por GPO o por MDM, y comprueba que el DNS funciona.<\/li>\n<\/ul>\n<\/div>\n<p>Los profesionales de TI y los administradores de sistemas se topan a menudo con tr\u00e1fico NetBIOS heredado en el puerto UDP 137, que ampl\u00eda la superficie de ataque y puede interrumpir servicios si se gestiona mal. En esta gu\u00eda ver\u00e1s c\u00f3mo desactivar o limitar de forma segura el <strong>puerto TCP 137<\/strong> en Windows sin perder la funcionalidad heredada que a\u00fan necesites.<\/p>\n<h2>7 consejos para gestionar las dependencias de NetBIOS y la seguridad de la red<\/h2>\n<p>Antes de ponerte con este flujo de trabajo, aseg\u00farate de contar con los accesos y las herramientas necesarias.<\/p>\n<ul>\n<li>Una ventana de mantenimiento planificada y un grupo piloto para el despliegue por fases<\/li>\n<li>Un inventario actualizado de red y hosts, con los detalles de subredes y adaptadores<\/li>\n<li>Acceso a un esc\u00e1ner (por ejemplo, nmap) para la validaci\u00f3n y a un registro centralizado<\/li>\n<li>Permisos para aplicar reglas de Windows Defender Firewall y ajustes de adaptador mediante GPO o <a href=\"https:\/\/www.ninjaone.com\/es\/blog\/que-es-la-gestion-de-dispositivos-moviles\/\">MDM<\/a><\/li>\n<\/ul>\n<p>Con estos requisitos cubiertos, podr\u00e1s detectar, bloquear o desactivar el puerto UDP 137 sin provocar interrupciones imprevistas.<\/p>\n<h3>1. Detecta d\u00f3nde se usa UDP 137<\/h3>\n<p>Localizar los equipos que ya escuchan en el puerto UDP 137 evita interrupciones accidentales del servicio.<\/p>\n<p>Para empezar, ejecuta una <a href=\"https:\/\/www.ninjaone.com\/es\/blog\/que-es-deteccion-de-redes\/\">detecci\u00f3n de redes<\/a> o escaneos espec\u00edficos que te den la lista de hosts que responden en UDP 137. Despu\u00e9s, cruza los resultados con tu inventario para identificar los servicios heredados.<\/p>\n<p>Esos \u00ablisteners\u00bb son PC con Windows de la red local que dependen de <a href=\"https:\/\/www.techtarget.com\/searchnetworking\/definition\/NetBIOS\" target=\"_blank\" rel=\"noopener\">NetBIOS<\/a> para la resoluci\u00f3n de nombres y para compartir archivos e impresoras. Los entornos modernos, en cambio, suelen usar DNS y SMB sobre TCP 445.<\/p>\n<p>Una vez tengas ese inventario, puedes limitar o desactivar el puerto con seguridad.<\/p>\n<h3>2. Bloquea UDP 137 en el per\u00edmetro y en los segmentos no confiables<\/h3>\n<p>Para reducir la exposici\u00f3n, bloquea UDP 137 en el per\u00edmetro de la red y en los segmentos no confiables. Aplica reglas de denegaci\u00f3n de entrada y de salida para UDP 137 en los firewalls del borde de internet, y deniega el puerto de forma expl\u00edcita en las VLAN de invitados, de IoT y no gestionadas.<\/p>\n<p>Una vez aplicadas las reglas, comprueba que los esc\u00e1neres externos no pueden alcanzar el puerto UDP 137 desde redes p\u00fablicas. Este bloqueo perimetral limita la superficie de ataque mientras eval\u00faas y gestionas las dependencias internas que queden.<\/p>\n<h3>3. Desactiva NetBIOS sobre TCP\/IP en Windows<\/h3>\n<p>Antes de desactivarlo, comprueba que la resoluci\u00f3n DNS y los servicios modernos de resoluci\u00f3n de nombres que necesites (LLMNR o mDNS, si est\u00e1n habilitados) funcionan correctamente. Despu\u00e9s, desactiva NetBIOS en los hosts que ya no lo necesiten. Si usas NinjaOne, puedes configurar <a href=\"https:\/\/www.ninjaone.com\/es\/script-hub\/configuracion-de-netbios-en-windows\/\">NetBIOS con este script<\/a>.<\/p>\n<p>Configura cada adaptador de red para desactivar NetBIOS en las propiedades de <a href=\"https:\/\/www.ninjaone.com\/it-hub\/remote-access\/what-is-ipv4-definition-overview\/\">IPv4<\/a> y, a continuaci\u00f3n, aplica el ajuste de forma centralizada con un objeto de directiva de grupo o un perfil de MDM para que sea uniforme. Como con cualquier cambio en la red, despli\u00e9galo primero en un grupo piloto para probarlo.<\/p>\n<h3>4. Limita las reglas internas de permiso a las necesidades heredadas documentadas<\/h3>\n<p>Si algunos sistemas siguen necesitando NetBIOS, crea reglas de firewall muy concretas que permitan UDP 137 solo entre las subredes cliente espec\u00edficas y los servidores heredados identificados. Por ejemplo, aplica las reglas por grupo de seguridad o por unidad organizativa y deniega el resto del tr\u00e1fico UDP en el puerto 137.<\/p>\n<h3>5. Valida y supervisa la correcci\u00f3n<\/h3>\n<p>Despu\u00e9s de aplicar los bloqueos y los permisos limitados, comprueba que UDP 137 ya no escucha en los hosts ejecutando netstat -an | find \u00ab137\u00bb en local y escanea desde un cliente representativo con nmap -sU -p 137. Revisa los registros del firewall y de seguridad durante al menos un ciclo completo de bloqueo para detectar tr\u00e1fico inesperado o intentos fallidos de resoluci\u00f3n de nombres.<\/p>\n<h3>6. Elimina las dependencias heredadas<\/h3>\n<p>Antes de desactivar NetBIOS por completo, elimina las dependencias que queden.<\/p>\n<table>\n<tbody>\n<tr>\n<td style=\"text-align: center;\"><strong>Acci\u00f3n<\/strong><\/td>\n<td style=\"text-align: center;\"><strong>Detalles<\/strong><\/td>\n<\/tr>\n<tr>\n<td>Sustituir los nombres NetBIOS por DNS\/FQDN<\/td>\n<td>A\u00f1ade registros DNS y actualiza los sufijos de b\u00fasqueda para eliminar las consultas NetBIOS.<\/td>\n<\/tr>\n<tr>\n<td>Actualizar scripts, accesos directos y configuraciones<\/td>\n<td>Cambia las referencias NetBIOS fijadas en el c\u00f3digo por nombres de dominio completos.<\/td>\n<\/tr>\n<tr>\n<td>Modernizar las rutas de impresi\u00f3n y de recursos compartidos<\/td>\n<td>Usa SMB sobre TCP 445 con nombres DNS en lugar de nombres NetBIOS.<\/td>\n<\/tr>\n<tr>\n<td>Actualizar las im\u00e1genes maestras y las plantillas de aprovisionamiento<\/td>\n<td>Aseg\u00farate de que los nuevos despliegues llevan NetBIOS desactivado por defecto.<\/td>\n<\/tr>\n<tr>\n<td>Verificar despu\u00e9s de los cambios<\/td>\n<td>Prueba el uso compartido de archivos, la impresi\u00f3n y la conectividad de las aplicaciones para confirmar que nada se ha roto.<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n<p>Con estos cambios aplicados, el entorno ya no depende de NetBIOS, as\u00ed que puedes bloquear el puerto UDP 137 con total seguridad.<\/p>\n<h3>7. Controla las excepciones y su ciclo de vida<\/h3>\n<p>Mant\u00e9n el control de las rutas en las que permitas UDP 137 trat\u00e1ndolas como excepciones temporales. Despu\u00e9s, limita estos casos aislados a grupos, subredes o unidades organizativas concretas.<\/p>\n<p>En cuanto al mantenimiento y la supervisi\u00f3n, incluye revisiones peri\u00f3dicas de UDP 137 en tu plan de hardening de seguridad y en las auditor\u00edas trimestrales de referencia.<\/p>\n<h2>Gestiona los riesgos de seguridad de NetBIOS con NinjaOne<\/h2>\n<p>Como los servicios NetBIOS abiertos se pueden aprovechar para enumerar equipos, suplantar identidades y lanzar <a href=\"https:\/\/www.ninjaone.com\/es\/it-hub\/endpoint-security\/ataque-dos-que-es\/\">ataques de denegaci\u00f3n de servicio<\/a>, necesitas controles m\u00e1s estrictos. Revisa tus pol\u00edticas de red para reducir al m\u00ednimo la exposici\u00f3n de los servicios NetBIOS.<\/p>\n<p>Despu\u00e9s, valora la posibilidad de implantar m\u00e9todos modernos de resoluci\u00f3n de nombres basados en DNS, como DNS, LLMNR o mDNS. Por \u00faltimo, usa la capacidad de scripting de NinjaOne para desactivar NetBIOS de forma uniforme en todos los dispositivos, con supervisi\u00f3n continua de la red e informes gracias a la <a href=\"https:\/\/www.ninjaone.com\/es\/supervision-gestion-de-endpoints\/supervision-de-redes\/\">monitorizaci\u00f3n de red<\/a>.<\/p>\n<p><strong>Temas relacionados:<\/strong><\/p>\n<ul>\n<li><a href=\"https:\/\/www.ninjaone.com\/es\/blog\/solucionador-de-dns\/\">Qu\u00e9 es un solucionador de DNS y c\u00f3mo configurarlo<\/a><\/li>\n<li><a href=\"https:\/\/www.ninjaone.com\/es\/blog\/configurar-servidor-dns\/\">C\u00f3mo configurar un servidor DNS: gu\u00eda paso a paso<\/a><\/li>\n<li><a href=\"https:\/\/www.ninjaone.com\/es\/blog\/configuracion-de-firewall\/\">Qu\u00e9 es la configuraci\u00f3n de un firewall y c\u00f3mo configurar el tuyo<\/a><\/li>\n<li><a href=\"https:\/\/www.ninjaone.com\/script-hub\/configure-firewall-exceptions-with-powershell\/\">C\u00f3mo configurar excepciones de firewall con PowerShell<\/a> [NinjaOne Script Hub]<\/li>\n<li><a href=\"https:\/\/www.ninjaone.com\/es\/script-hub\/supervisar-conexiones-tcp-y-udp\/\">C\u00f3mo monitorizar conexiones TCP y UDP en Windows con PowerShell<\/a> [NinjaOne Script Hub]<\/li>\n<\/ul>\n","protected":false},"excerpt":{"rendered":"<p>Los profesionales de TI y los administradores de sistemas se topan a menudo con tr\u00e1fico NetBIOS heredado en el puerto UDP 137, que ampl\u00eda la superficie de ataque y puede interrumpir servicios si se gestiona mal. En esta gu\u00eda ver\u00e1s c\u00f3mo desactivar o limitar de forma segura el puerto TCP 137 en Windows sin perder [&hellip;]<\/p>\n","protected":false},"author":35,"featured_media":747117,"comment_status":"closed","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"_acf_changed":false,"_relevanssi_hide_post":"","_relevanssi_hide_content":"","_relevanssi_pin_for_all":"","_relevanssi_pin_keywords":"","_relevanssi_unpin_keywords":"","_relevanssi_related_keywords":"","_relevanssi_related_include_ids":"","_relevanssi_related_exclude_ids":"","_relevanssi_related_no_append":"","_relevanssi_related_not_related":"","_relevanssi_related_posts":"","_relevanssi_noindex_reason":"","_lmt_disableupdate":"","_lmt_disable":"","footnotes":""},"categories":[4357],"tags":[],"class_list":["post-898673","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-operaciones-de-ti"],"acf":[],"modified_by":null,"_links":{"self":[{"href":"https:\/\/www.ninjaone.com\/es\/wp-json\/wp\/v2\/posts\/898673","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/www.ninjaone.com\/es\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/www.ninjaone.com\/es\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/www.ninjaone.com\/es\/wp-json\/wp\/v2\/users\/35"}],"replies":[{"embeddable":true,"href":"https:\/\/www.ninjaone.com\/es\/wp-json\/wp\/v2\/comments?post=898673"}],"version-history":[{"count":1,"href":"https:\/\/www.ninjaone.com\/es\/wp-json\/wp\/v2\/posts\/898673\/revisions"}],"predecessor-version":[{"id":898674,"href":"https:\/\/www.ninjaone.com\/es\/wp-json\/wp\/v2\/posts\/898673\/revisions\/898674"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/www.ninjaone.com\/es\/wp-json\/wp\/v2\/media\/747117"}],"wp:attachment":[{"href":"https:\/\/www.ninjaone.com\/es\/wp-json\/wp\/v2\/media?parent=898673"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/www.ninjaone.com\/es\/wp-json\/wp\/v2\/categories?post=898673"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/www.ninjaone.com\/es\/wp-json\/wp\/v2\/tags?post=898673"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}