Come disabilitare SMBv1 (Server Message Block Protocol) con PowerShell

Il Server Message Block Protocol (SMB) esiste da tempo ed è una sorta di spina dorsale per la condivisione di file e per varie altre operazioni di rete. Tuttavia, la prima versione, SMBv1, è oggi considerata un problema a causa delle numerose vulnerabilità di sicurezza. Se sei un professionista IT o un fornitore di servizi gestiti (MSP), la sicurezza della rete dovrebbe essere la tua preoccupazione principale. Quindi, come puoi disabilitare SMBv1 in modo efficace?

Cosa fa la script?

Questo script PowerShell è stato progettato in modo molto specifico per uno scopo: disabilitare SMBv1 negli ambienti Windows. Funziona utilizzando una sequenza di cmdlet PowerShell integrati e modifiche del Registro di sistema per garantire che SMBv1 sia completamente disabilitato. Lo script per disabilitare SMBv1 può essere eseguito in ambiente Windows 10 o Windows Server 2016 o successivo, il che lo rende estremamente versatile e prezioso per qualsiasi sistema Windows moderno.

Lo script: Disabilitare SMBv1

#Requires -Version 5.1

<#
.SYNOPSIS
    Disables SMB v1
.DESCRIPTION
    Disables SMB v1 via Get-WindowsOptionalFeature, Set-SmbServerConfiguration, or Registry
.EXAMPLE
    No parameters needed.
.EXAMPLE
    PS C:> Disable-SMBv1.ps1
    No parameters needed.
.OUTPUTS
    None
.NOTES
    Minimum OS Architecture Supported: Windows 10, Windows Server 2016
    Release Notes:
    Initial Release
By using this script, you indicate your acceptance of the following legal terms as well as our Terms of Use at https://www.ninjaone.com/terms-of-use.
    Ownership Rights: NinjaOne owns and will continue to own all right, title, and interest in and to the script (including the copyright). NinjaOne is giving you a limited license to use the script in accordance with these legal terms. 
    Use Limitation: You may only use the script for your legitimate personal or internal business purposes, and you may not share the script with another party. 
    Republication Prohibition: Under no circumstances are you permitted to re-publish the script in any script library or website belonging to or under the control of any other software provider. 
    Warranty Disclaimer: The script is provided “as is” and “as available”, without warranty of any kind. NinjaOne makes no promise or guarantee that the script will be free from defects or that it will meet your specific needs or expectations. 
    Assumption of Risk: Your use of the script is at your own risk. You acknowledge that there are certain inherent risks in using the script, and you understand and assume each of those risks. 
    Waiver and Release: You will not hold NinjaOne responsible for any adverse or unintended consequences resulting from your use of the script, and you waive any legal or equitable rights or remedies you may have against NinjaOne relating to your use of the script. 
    EULA: If you are a NinjaOne customer, your use of the script is subject to the End User License Agreement applicable to you (EULA).
#>

[CmdletBinding()]
param ()

begin {
    function Test-IsElevated {
        $id = [System.Security.Principal.WindowsIdentity]::GetCurrent()
        $p = New-Object System.Security.Principal.WindowsPrincipal($id)
        if ($p.IsInRole([System.Security.Principal.WindowsBuiltInRole]::Administrator))
        { Write-Output $true }
        else
        { Write-Output $false }
    }
    function Set-ItemProp {
        param (
            $Path,
            $Name,
            $Value,
            [ValidateSet("DWord", "QWord", "String", "ExpandedString", "Binary", "MultiString", "Unknown")]
            $PropertyType = "DWord"
        )
        # Do not output errors and continue
        $ErrorActionPreference = [System.Management.Automation.ActionPreference]::SilentlyContinue
        if (-not $(Test-Path -Path $Path)) {
            # Check if path does not exist and create the path
            New-Item -Path $Path -Force | Out-Null
        }
        if ((Get-ItemProperty -Path $Path -Name $Name)) {
            # Update property and print out what it was changed from and changed to
            $CurrentValue = Get-ItemProperty -Path $Path -Name $Name
            try {
                Set-ItemProperty -Path $Path -Name $Name -Value $Value -Force -Confirm:$false -ErrorAction Continue | Out-Null
            }
            catch {
                Write-Error $_
            }
            Write-Host "$Path$Name changed from $CurrentValue to $(Get-ItemProperty -Path $Path -Name $Name)"
        }
        else {
            # Create property with value
            try {
                New-ItemProperty -Path $Path -Name $Name -Value $Value -PropertyType $PropertyType -Force -Confirm:$false -ErrorAction Continue | Out-Null
            }
            catch {
                Write-Error $_
            }
            Write-Host "Set $Path$Name to $(Get-ItemProperty -Path $Path -Name $Name)"
        }
        $ErrorActionPreference = [System.Management.Automation.ActionPreference]::Continue
    }
    $Disable = 0
    # $Enable = 1 # Not Used
}
process {
    if (-not (Test-IsElevated)) {
        Write-Error -Message "Access Denied. Please run with Administrator privileges."
        exit 1
    }
    
    # Try using Get-WindowsOptionalFeature first
    if (-not $(Get-Command -Name "Get-WindowsOptionalFeature").Name -like "Get-WindowsOptionalFeature") {
        Write-Host "Get-WindowsOptionalFeature command not found. Continuing."
    }
    else {
        if ((Get-WindowsOptionalFeature -Online -FeatureName smb1protocol -ErrorAction SilentlyContinue).State -notlike "Disabled") {
            # Disables smb1protocol feature
            try {
                Disable-WindowsOptionalFeature -Online -FeatureName smb1protocol
                # Disabled SMB1, exit
                exit 0
            }
            catch {
                Write-Host "smb1protocol feature not found. Continuing."
            }
        }
    }

    if (-not $(Get-Command -Name "Get-SmbServerConfiguration").Name -like "Get-SmbServerConfiguration") {
        Write-Host "Get-SmbServerConfiguration command not found. Continuing."
        $Path = "HKLM:SYSTEMCurrentControlSetServicesLanmanServerParameters"
        $Name = "SMB1"
        # https://docs.microsoft.com/en-us/windows-server/storage/file-server/troubleshoot/detect-enable-and-disable-smbv1-v2-v3#registry-editor
        # Sets SMB1 to 0
        Set-ItemProp -Path $Path -Name $Name -Value $Disable
    }
    if ((Get-SmbServerConfiguration).EnableSMB1Protocol) {
        try {
            Set-SmbServerConfiguration -EnableSMB1Protocol $false            
        }
        catch {
            Write-Host "Failed to disable SMBv1."
            exit 1
        }
    }
}
end {}

 

Preoccupazioni per la sicurezza legate a SMBv1 

SMBv1 è noto per le sue carenze in termini di sicurezza. È stato un bersaglio frequente di vari tipi di attacchi, ransomware e violazioni di dati. Avere SMBv1 abilitato è come lasciare la porta di casa aperta: stai praticamente invitando i problemi a entrare. Questo script PowerShell risolve efficacemente il problema disabilitando SMBv1.

Tempo ed efficienza 

Disabilitare SMBv1 manualmente può richiedere molto tempo, soprattutto negli ambienti di rete su larga scala. Questo script per disabilitare SMBv1 automatizza il processo, facendo risparmiare tempo e fatica. Per gli MSP che gestiscono le reti di più clienti, questo strumento è una manna dal cielo. 

Approccio completo 

Lo script tenta di disabilitare SMBv1 attraverso diverse vie, tra cui il cmdlet Get-WindowsOptionalFeature, il cmdlet Set-SmbServerConfiguration e le modifiche dirette al Registro di sistema. In questo modo si garantisce che il protocollo venga disabilitato, anche se uno dei metodi fallisce o non è disponibile sul sistema in questione.

Come utilizzare lo script per disabilitare SMBv1

L’esecuzione dello script per disabilitare SMBv1 è semplice. Ecco una guida rapida: 

1. Salva lo script in un file denominato Disable-SMBv1.ps1. 
2. Apri PowerShell come amministratore. 
3. Naviga nella cartella in cui è stato salvato lo script. 
4. Esegui lo script digitando PS C:>.Disable-SMBv1.ps1 e premi Invio. 

Assicurati di avere i privilegi di amministratore, altrimenti lo script per disabilitare SMBv1 verrà terminato, in modo da non apportare accidentalmente modifiche che non dovresti fare.

Per chi è utile questo script? 

• Professionisti IT: Se sei un responsabile della manutenzione di una rete aziendale o anche di una rete su scala ridotta, questo script dovrebbe far parte del tuo kit di strumenti. In questo modo potrai automatizzare il processo per disabilitare SMBv1 su più sistemi con un’unica operazione. 
• Fornitori di servizi gestiti (MSP): Per chi gestisce reti di più clienti, la possibilità di disabilitare rapidamente protocolli vulnerabili come SMBv1 può aggiungere un ulteriore livello di sicurezza, e può aiutare a offrire un servizio di maggiore valore per i clienti.

Integrazione dello script con NinjaOne

Per i professionisti IT e i fornitori di servizi gestiti (MSP) che si affidano a NinjaOne come soluzione di monitoraggio e gestione remoti, l’integrazione di questo script nei protocolli di manutenzione ordinaria o di sicurezza può aggiungere un ulteriore livello di solidità alle operazioni. 

Esecuzione programmata 

È possibile pianificare l’esecuzione dello script PowerShell per disabilitare SMBv1 tramite il motore di scripting di NinjaOne. In questo modo avrai la certezza che SMBv1 venga automaticamente disabilitato su tutti i nuovi sistemi aggiunti alla rete o su tutti i sistemi che vengono reinizializzati, mantenendo così una situazione di sicurezza uniforme. 

Monitoraggio e avvisi 

Con le funzioni di avviso di NinjaOne, puoi creare avvisi personalizzati che notificano quando lo script viene eseguito correttamente o se incontra problemi. Questo ti fornisce un feedback in tempo reale, consentendoti di intervenire se necessario. 

Distribuzione remota 

Lo script per disabilitare SMBv1 può essere distribuito in remoto su più sistemi tramite NinjaOne. Questo è particolarmente utile per gli MSP che gestiscono un’ampia gamma di reti. Con pochi clic potrai applicare un criterio di sicurezza critico a tutti gli endpoint gestiti. 

Rapporti di conformità 

Per i requisiti di conformità come il GDPR o l’HIPAA, in cui può essere richiesta la disattivazione di protocolli obsoleti e vulnerabili, l’esecuzione di questo script tramite NinjaOne può fornire un modo semplice per dimostrare l’esistenza di misure di sicurezza adeguate. Le funzioni di reporting di NinjaOne possono aiutarti a generare report completi per le sessioni di registrazione audit.

Considerazioni finali

Disabilitare SMBv1 dovrebbe essere una scelta obbligata per qualsiasi organizzazione che prenda sul serio la sicurezza della rete. Questo script PowerShell fornisce un metodo affidabile, efficiente e completo per farlo. Data la necessità critica di migliorare i protocolli di sicurezza nell’attuale panorama IT aziendale, l’adozione di questo script per disabilitare SMBv1 dovrebbe essere una priorità assoluta.