Réduire le risque lié à SMB : bloquer ou délimiter le port TCP 445 sous Windows en toute sécurité

Le port 445 prend en charge le protocole SMB (Server Message Block, le protocole de partage de fichiers de Windows, à ne pas confondre avec l’acronyme anglais désignant les petites et moyennes entreprises). SMB permet aux utilisateurs de partager des fichiers, des imprimantes et d’autres ressources d’un appareil.

Ce guide propose un cadre indépendant de tout fournisseur que les équipes informatiques et les MSP peuvent utiliser pour bloquer ou délimiter en toute sécurité le port TCP 445 sous Windows.

Sécuriser le port 445 : guide étape par étape

Bloquer le port TCP 445 semble être une solution évidente, mais cette opération peut perturber les opérations de domaine, les transferts de fichiers et des flux de travail d’administration critiques. Les étapes ci-dessous expliquent comment les administrateurs informatiques peuvent réduire les risques liés au port TCP 445 sans provoquer d’interruptions opérationnelles.

📌 Prérequis : les éléments suivants permettent de réaliser les étapes ci-dessous plus efficacement :

• Un inventaire des services et des hôtes dépendants de SMB
• La définition de la fenêtre de changement et le choix de l’anneau pilote
• La capacité à déployer le Pare-feu Windows Defender ou des règles équivalentes via GPO ou MDM
• Une journalisation centralisée des événements de pare-feu et des échecs d’authentification

Étape 1 : identifier les endroits où SMB est nécessaire

Server Message Block (SMB) est un protocole de communication réseau qui permet aux ordinateurs de partager des fichiers, des imprimantes, des ports série et d’autres ressources sur un réseau. Savoir où SMB est nécessaire et quels sont les chemins SMB légitimes au sein de votre entreprise constitue la première étape pour réduire les risques liés au port TCP 445.

Cette première étape consiste à :

• Identifier les serveurs de fichiers, les contrôleurs de domaine, les serveurs d’impression et les partages d’administration qui doivent rester accessibles.
• Cartographier les groupes de clients qui accèdent légitimement à ces serveurs.
• Recenser les cas d’usage d’accès à distance et les alternatives telles que le VPN, SMB over QUIC ou les passerelles de fichiers. La prise en charge de SMB over QUIC s’étend désormais à toutes les éditions de Windows Server 2025 (auparavant réservée à l’édition Azure), ce qui en fait une option beaucoup plus largement disponible pour sécuriser les accès SMB distants sans exposer le port TCP 445.

Étape 2 : bloquer le port TCP 445 au périmètre et dans les zones non fiables

Bloquer le port TCP 445 dans les zones non fiables est essentiel, car cela réduit l’exposition aux cybermenaces. De plus, il est indispensable de garantir que le trafic SMB n’est jamais exposé en bordure d’internet, afin de prévenir les attaques SMB venant d’internet.

Voici quelques moyens de sécuriser le port TCP 445 dans ces zones :

Blocages au périmètre

Appliquez un blocage du port 445 en entrée et en sortie sur le pare-feu ou en bordure du cloud afin d’éliminer les menaces venant d’internet : scanners, exploits et charges utiles de ransomware.

Protections par segmentation

Les segments non fiables ou non gérés, comme le Wi-Fi invité, les capteurs IdO (internet des objets) et les appareils BYOD, ne doivent pas pouvoir communiquer avec les services SMB de l’entreprise.

Protection des utilisateurs distants

Assurez-vous que les terminaux distants ne publient pas accidentellement le port 445 sur des réseaux domestiques ou publics. Appliquez des règles de pare-feu sur l’hôte pour bloquer le trafic SMB entrant, sauf sur un réseau de domaine approuvé.

Étape 3 : délimiter les accès internes selon le moindre privilège

Limiter les accès internes des utilisateurs réduit le trafic interne et contient ainsi les déplacements latéraux. En définissant des protocoles d’accès interne fondés sur les privilèges, les administrateurs informatiques s’assurent que seuls les flux SMB approuvés aboutissent.

Pour y parvenir, vous pouvez notamment :

• Créer des règles de pare-feu Windows qui autorisent le port 445 uniquement entre les sous-réseaux clients approuvés et les hôtes SMB approuvés
• Cibler les exceptions par une politique basée sur les groupes et tenir à jour une liste d’autorisation explicite
• Refuser tout autre trafic sur le port 445 au sein du LAN et sur les liaisons inter-sites

Étape 4 : durcir SMB avant et après le blocage

Le durcissement de SMB est une étape indispensable pour bloquer ou délimiter le port TCP 445 en toute sécurité. En effet, pour la plupart des entreprises, il doit faire partie d’une stratégie de défense en profondeur. Cette étape renforce la sécurité du protocole SMB : les tentatives d’authentification et de relais réussies sont moins nombreuses, même sur les chemins bloqués.

Voici quelques pratiques que vous pouvez adopter :

• Désactiver SMB1 sur tous les systèmes
• Exiger la signature SMB par défaut
• Passer en revue les paramètres du contrôleur de domaine et du serveur de fichiers
• Utiliser SMB over QUIC pour les scénarios distants afin d’éviter d’exposer le port 445 sur les réseaux

Étape 5 : déployer les règles via GPO ou MDM

Les étapes précédentes portaient sur le durcissement de la sécurité ; celle-ci traite du déploiement sur les différents terminaux de votre réseau. Déployer ces changements via GPO ou MDM permet aux administrateurs informatiques d’appliquer de nouvelles politiques de façon sûre et réversible. De plus, un déploiement via GPO ou MDM aide à détecter plus rapidement les dysfonctionnements imprévus et à les corriger plus efficacement.

Voici quelques bonnes pratiques :

• Tester sur un petit anneau pilote et activer une journalisation détaillée du pare-feu
• Déployer les règles entrantes et sortantes avec un ordre de priorité clair et une documentation associée
• Conserver un script de restauration testé pour supprimer ou assouplir rapidement les règles si nécessaire

Étape 6 : vérifier et surveiller vos changements

Les modifications apportées à votre environnement doivent toujours être documentées, vérifiables et surveillées. Cette étape permet aux administrateurs informatiques de confirmer que les changements fonctionnent comme prévu et ne perturbent pas les flux de travail critiques.

Pendant cette phase, il convient de :

• Tester l’accessibilité réseau avec Test-NetConnection -ComputerName <server> -Port 445
• Valider l’accès aux partages de fichiers, le traitement des GPO et l’authentification, le cas échéant
• Examiner les journaux du pare-feu à la recherche de refus, en particulier s’ils coïncident avec des tickets au support
• Ajuster les listes d’autorisation selon les données observées

Étape 7 : encadrer les exceptions et leur cycle de vie

Enfin, maintenir une gouvernance garantit un contrôle suffisant sur les protocoles SMB et évite la multiplication d’exceptions incontrôlées, qui affaiblissent la sécurité au fil du temps.

Il s’agit d’une étape continue, comme la surveillance, qui consiste à :

• Consigner le responsable, le motif et la date d’expiration de chaque exception sur le port 445
• Réexaminer les exceptions à intervalles réguliers (généralement chaque mois) et supprimer ou resserrer la sécurité lorsque c’est possible et nécessaire
• Ajouter les contrôles nécessaires à votre référence de configuration de durcissement et l’auditer lors de contrôles trimestriels

Intégrer NinjaOne à vos protocoles SMB

Avec NinjaOne, les administrateurs informatiques peuvent gérer votre infrastructure informatique de manière stratégique. Voici quelques éléments que vous pouvez intégrer à votre stratégie de sécurité :

Déploiement des règles de pare-feu

NinjaOne vous aide à délimiter et à automatiser les configurations de sécurité sur l’ensemble de votre réseau, notamment en déployant des scripts et des politiques qui facilitent la gestion des règles de pare-feu sur les terminaux gérés.

Journalisation complète

Grâce à la plateforme, les administrateurs informatiques peuvent collecter des journaux d’authentification et de sécurité détaillés, suivre l’utilisation du protocole SMB et repérer les événements de sécurité potentiels. De plus, la fonction de reporting de NinjaOne permet aux administrateurs informatiques de générer des rapports d’exceptions complets pour les revues mensuelles avec les clients.

Surveillance proactive

Gardez une longueur d’avance avec des protocoles de surveillance proactive. Ils vous permettent de détecter la présence de SMB1, de déclencher une alerte et d’exécuter automatiquement les scripts de remédiation appropriés (disponibles dans NinjaOne). Combinées à vos autres mesures de sécurité, ces fonctions contribuent à maintenir votre réseau sécurisé malgré les risques.

Protégez votre réseau avec des mesures de sécurité pour le port TCP 445

Bloquer ou délimiter étroitement le port TCP 445 réduit sensiblement le risque lié à SMB, à condition de procéder par découverte, déploiement progressif et vérification continue. Associez les contrôles réseau au durcissement de SMB et à une gestion rigoureuse des exceptions pour une protection durable.

Sujets connexes :

• Comment activer ou désactiver le protocole de partage de fichiers SMB1 sous Windows
• Comment activer ou désactiver l’option « Bloquer toutes les connexions entrantes » dans le Pare-feu Windows
• Comment configurer des exceptions de pare-feu avec PowerShell [Centre de scripts]
• Qu’est-ce que le protocole TCP/IP (Transmission Control Protocol) ?