Points clés
- Cartographiez l’usage réel du port UDP 137 avant de le désactiver afin de ne pas interrompre des services legacy.
- Bloquez le port UDP 137 au périmètre et sur les segments non approuvés, en l’autorisant uniquement là où c’est documenté.
- Désactivez NetBIOS sur TCP/IP sous Windows via les paramètres de la carte réseau, une GPO ou le MDM, puis vérifiez que le DNS fonctionne.
Les professionnels de l’informatique et les administrateurs systèmes doivent souvent composer avec du trafic NetBIOS legacy sur le port UDP 137, qui élargit la surface d’exposition aux attaques et peut perturber des services s’il est mal géré. Ce guide explique comment désactiver ou restreindre sans risque le port TCP 137 sous Windows tout en préservant les fonctionnalités legacy encore nécessaires.
7 conseils pour gérer les dépendances NetBIOS et la sécurité réseau
Assurez-vous d’abord de disposer des accès et des outils nécessaires avant de vous lancer dans cette procédure.
- Une fenêtre de maintenance planifiée et un groupe pilote pour un déploiement progressif
- Un inventaire à jour du réseau et des hôtes, avec les détails des sous-réseaux et des cartes réseau
- L’accès à un scanner (nmap, par exemple) pour la validation, ainsi qu’à une journalisation centralisée
- Les autorisations nécessaires pour appliquer des règles du Pare-feu Windows Defender et modifier les paramètres des cartes réseau via une GPO ou le MDM
Ces prérequis en place, vous pouvez détecter, bloquer ou désactiver le port UDP 137 en toute sécurité, sans provoquer d’interruption imprévue.
1. Repérer où le port UDP 137 est utilisé
Identifier les services à l’écoute sur le port UDP 137 évite d’interrompre accidentellement des services.
Pour commencer, lancez une découverte du réseau ou des analyses ciblées afin de lister les hôtes qui répondent sur le port UDP 137. Recoupez ensuite les résultats avec votre inventaire pour identifier les services legacy.
Ces hôtes à l’écoute sont des PC Windows du réseau local qui s’appuient sur NetBIOS pour la résolution de noms et le partage de fichiers et d’imprimantes. Les environnements modernes, eux, utilisent généralement le DNS et SMB sur le port TCP 445.
Une fois cet inventaire établi, vous pouvez restreindre ou désactiver le port en toute sécurité.
2. Bloquer le port UDP 137 au périmètre et sur les segments non approuvés
Pour réduire l’exposition, bloquez le port UDP 137 au périmètre du réseau et sur les segments non approuvés. Appliquez des règles de refus entrantes et sortantes pour le port UDP 137 sur les pare-feux en bordure d’internet, et refusez explicitement ce port sur les VLAN invités, IdO (internet des objets) et non gérés.
Après avoir mis ces règles en place, vérifiez que des scanners externes ne peuvent pas atteindre le port UDP 137 depuis les réseaux publics. Ce blocage périmétrique limite la surface d’exposition aux attaques pendant que vous évaluez et traitez les dépendances internes restantes.
3. Désactiver NetBIOS sur TCP/IP sous Windows
Avant toute désactivation, vérifiez que la résolution DNS et les services de résolution de noms modernes requis (LLMNR ou mDNS, s’ils sont activés) fonctionnent correctement. Désactivez ensuite NetBIOS sur les hôtes qui n’en ont plus besoin. Les utilisateurs de NinjaOne peuvent configurer NetBIOS avec ce script.
Configurez chaque carte réseau pour désactiver NetBIOS dans les propriétés IPv4, puis imposez le paramètre de façon centralisée via un objet de stratégie de groupe ou un profil MDM pour une application homogène. Comme pour tout ajustement réseau, déployez d’abord sur un groupe pilote afin de tester.
4. Restreindre les règles d’autorisation internes aux besoins legacy documentés
Si certains systèmes ont encore besoin de NetBIOS, créez des règles de pare-feu étroites qui n’autorisent le port UDP 137 qu’entre les sous-réseaux clients concernés et les serveurs legacy identifiés. Vous pouvez par exemple cibler les règles par groupe de sécurité ou par OU (unité organisationnelle), et refuser tout autre trafic UDP sur le port 137.
5. Valider et surveiller la remédiation
Après avoir appliqué les blocages et les autorisations restreintes, vérifiez que le port UDP 137 n’est plus en écoute sur les hôtes en exécutant localement netstat -an | find « 137 », puis lancez une analyse depuis un poste client représentatif avec nmap -sU -p 137. Surveillez les journaux du pare-feu et de sécurité pendant au moins un cycle de verrouillage complet afin de détecter tout trafic inattendu ou toute tentative de résolution de noms en échec.
6. Traiter les dépendances legacy
Avant de désactiver complètement NetBIOS, supprimez les dépendances qui subsistent.
| Action | Détails |
| Remplacer les noms NetBIOS par des noms DNS/FQDN | Ajoutez les enregistrements DNS et mettez à jour les suffixes de recherche pour supprimer les requêtes NetBIOS. |
| Mettre à jour les scripts, les raccourcis et les configurations | Remplacez les références NetBIOS codées en dur par des noms de domaine pleinement qualifiés. |
| Moderniser les chemins d’impression et de partage de fichiers | Utilisez SMB sur le port TCP 445 avec des noms DNS plutôt que des noms NetBIOS. |
| Actualiser les images de référence et les modèles de provisionnement | Assurez-vous que NetBIOS est désactivé par défaut sur les nouveaux déploiements. |
| Vérifier après les modifications | Testez le partage de fichiers, l’impression et la connectivité applicative pour confirmer l’absence de régression. |
Une fois ces mises à jour appliquées, l’environnement ne dépend plus de NetBIOS : le port UDP 137 peut donc être bloqué en toute sécurité.
7. Encadrer les exceptions et leur cycle de vie
Gardez la maîtrise des flux UDP 137 encore autorisés en les traitant comme des exceptions temporaires. Limitez ensuite ces cas particuliers à des groupes, sous-réseaux ou périmètres d’OU (unité organisationnelle) précis.
Pour la maintenance et la surveillance, intégrez des contrôles réguliers du port UDP 137 à votre durcissement de la sécurité et à vos références de configuration auditées chaque trimestre.
Gérer les risques de sécurité liés à NetBIOS avec NinjaOne
Les services NetBIOS ouverts pouvant être exploités pour de l’énumération, de l’usurpation et des attaques par déni de service, des contrôles plus stricts sont indispensables. Passez en revue vos politiques réseau afin de réduire l’exposition des services NetBIOS.
Envisagez ensuite des méthodes modernes de résolution de noms fondées sur le DNS, comme le DNS, LLMNR ou mDNS. Enfin, utilisez les capacités de script de NinjaOne pour désactiver NetBIOS de manière uniforme sur l’ensemble des appareils, tout en assurant une surveillance du réseau et un reporting en continu.
Sujets connexes :
- Qu’est-ce qu’un résolveur DNS et comment le configurer ?
- Comment configurer un serveur DNS : guide étape par étape
- Qu’est-ce que la configuration d’un pare-feu et comment configurer le vôtre ?
- Comment configurer des exceptions de pare-feu avec PowerShell [Centre de scripts NinjaOne]
- Comment surveiller les connexions TCP et UDP sous Windows avec PowerShell [Centre de scripts NinjaOne]
