Come disabilitare o limitare in modo sicuro il servizio nomi NetBIOS (UDP 137) in Windows

I professionisti IT e gli amministratori di sistema si trovano spesso a dover gestire il traffico NetBIOS legacy sulla porta UDP 137, che amplia la superficie di attacco e, se gestito impropriamente, può causare interruzioni dei servizi. Questa guida illustra come disabilitare o limitare in modo sicuro l’accesso al TCP porta 137 in Windows, preservando al contempo tutte le funzionalità legacy necessarie.

7 consigli per gestire le dipendenze NetBIOS e la sicurezza di rete

Per prima cosa, assicurati di disporre degli accessi e degli strumenti necessari prima di iniziare questo flusso di lavoro.

• Modifica del programma delle finestre e dell’anello pilota per un’implementazione graduale
• Inventario aggiornato della rete e degli host con i dettagli relativi alle sottoreti e alle schede di rete
• Accesso a uno scanner (ad esempio nmap) per la verifica e la registrazione centralizzata dei log
• Autorizzazioni per applicare le regole del Firewall di Windows Defender e le impostazioni degli adattatori tramite GPO o MDM

Una volta soddisfatti questi prerequisiti, potrai individuare, bloccare o disabilitare in tutta sicurezza la porta UDP 137 senza causare interruzioni indesiderate.

1. Scopri dove viene utilizzato il protocollo UDP 137

L’identificazione dei listener esistenti sulla porta UDP 137 consente di evitare interruzioni accidentali del servizio.

Per iniziare, esegui network discovery oppure esegui scansioni mirate per ottenere un elenco degli host che rispondono sulla porta UDP 137. Quindi, confronta i risultati della scansione con il tuo inventario per identificare i servizi obsoleti.

I listener sono PC Windows presenti nella rete locale che si avvalgono di un server NetBIOS Al contrario, gli ambienti moderni utilizzano in genere il DNS e il protocollo SMB sulla porta TCP 445.

Una volta ottenuto questo elenco, puoi procedere in tutta sicurezza alla configurazione o alla disabilitazione della porta.

2. Bloccare la porta UDP 137 sul perimetro e sui segmenti non affidabili

Per ridurre l’esposizione, blocca la porta UDP 137 sul perimetro della rete e sui segmenti non affidabili. Applica regole di blocco in entrata e in uscita per la porta UDP 137 sui firewall perimetrali e blocca esplicitamente quella porta sulle VLAN ospiti, IoT e non gestite.

Dopo aver implementato queste regole, verifica che gli scanner esterni non possano accedere alla porta UDP 137 dalle reti pubbliche. Questo blocco perimetrale limita la superficie di attacco durante la valutazione e la gestione di eventuali dipendenze interne residue.

3. Disattivare NetBIOS su TCP/IP in Windows

Prima di disattivare la funzionalità, verifica che la risoluzione DNS e tutti i servizi di risoluzione dei nomi moderni necessari (LLMNR o mDNS, se abilitati) funzionino correttamente. Quindi, disattivare NetBIOS sugli host che non ne hanno più bisogno. Gli utenti di NinjaOne possono configurare il NetBIOS utilizzando lo script che trovi a questo link.

Configura ciascuna scheda di rete per disabilitare NetBIOS nelle proprietà IPv4, quindi applica l’impostazione a livello centrale tramite un oggetto Criteri di gruppo (GPO) o un profilo MDM per garantirne l’applicazione uniforme. Come per qualsiasi modifica alla rete, effettuare l’implementazione in un gruppo pilota per effettuare dei test.

4. Limita le regole di consenso interne alle sole esigenze legacy documentate.

Se alcuni sistemi richiedono ancora NetBIOS, crea regole di firewall mirate che consentano il traffico UDP 137 solo tra le specifiche sottoreti dei client e i server legacy identificati. Ad esempio, applica le regole in base al gruppo di sicurezza o all’unità organizzativa e blocca tutto il resto del traffico UDP sulla porta 137.

5. Verificare e monitorare gli interventi correttivi

Dopo aver applicato i blocchi e le autorizzazioni limitate, verifica che la porta UDP 137 non sia più in ascolto sugli host eseguendo localmente il comando << netstat -an | find “137”>> ed esegui una scansione da un client rappresentativo con << nmap -sU -p 137>>. Monitora i log del firewall e di sicurezza per almeno un ciclo completo di blocco, al fine di individuare eventuali flussi di traffico imprevisti o tentativi falliti di risoluzione dei nomi.

6. Risolvere le dipendenze legacy

Prima di disabilitare completamente NetBIOS, rimuovi eventuali dipendenze residue da esso.

Una volta applicati questi aggiornamenti, l’ambiente non utilizza più NetBIOS, pertanto la porta UDP 137 può essere bloccata in modo sicuro.

7. Gestione delle eccezioni e del ciclo di vita

Mantieni il controllo su eventuali percorsi UDP 137 consentiti, considerandoli come eccezioni temporanee. Quindi, limita questi valori anomali solo a gruppi, sottoreti o ambiti OU specifici.

Ai fini della manutenzione e del monitoraggio, esegui controlli periodici sul protocollo UDP 137 nell’ambito delle misure di rafforzamento della sicurezza e delle verifiche trimestrali di riferimento.

Gestione dei rischi di sicurezza NetBIOS con NinjaOne

Poiché i servizi NetBIOS aperti possono essere sfruttati per l’enumerazione, lo spoofing e gli attacchi denial-of-service, è necessario applicare controlli più rigorosi. Rivedi i criteri di rete per ridurre al minimo l’esposizione dei servizi NetBIOS.

Ti consigliamo quindi di valutare l’implementazione di metodi moderni di risoluzione dei nomi basati sul DNS, quali DNS, LLMNR o mDNS. Infine, utilizza le funzionalità di scripting di NinjaOne per disabilitare in modo uniforme il protocollo NetBIOS su tutti i dispositivi, abilitando al contempo il monitoraggio continuo della rete e la generazione di report.

Argomenti correlati:

• Che cos’è un resolver DNS e come configurarlo
• Come configurare un server DNS: Una guida passo passo
• Che cos’è una configurazione del firewall? Come configurare il firewall
• Come configurare le eccezioni del firewall con PowerShell [NinjaOne Script Hub]
• Come monitorare le connessioni TCP e UDP su Windows utilizzando PowerShell [NinjaOne Script Hub]