Belangrijkste punten
- Breng het daadwerkelijke gebruik van UDP 137 in kaart voordat u de poort uitschakelt, zodat u geen oudere services onderbreekt.
- Blokkeer UDP 137 aan de perimeter en op niet-vertrouwde segmenten en sta de poort alleen toe waar dat gedocumenteerd is.
- Schakel NetBIOS over TCP/IP in Windows uit via de adapterinstellingen, GPO of MDM en controleer of DNS werkt.
IT-professionals en systeembeheerders krijgen regelmatig te maken met verouderd NetBIOS-verkeer op UDP 137. Dat vergroot het aanvalsoppervlak en kan services verstoren als u er verkeerd mee omgaat. In deze gids leest u hoe u TCP-poort 137 in Windows veilig uitschakelt of beperkt zonder noodzakelijke legacyfunctionaliteit te verliezen.
7 tips voor NetBIOS-afhankelijkheden en netwerkbeveiliging
Zorg eerst dat u over de benodigde toegang en tools beschikt voordat u met deze workflow begint.
- Een planning voor het onderhoudsvenster en een pilotgroep voor een gefaseerde uitrol
- Een actuele inventaris van netwerk en hosts, inclusief subnet- en adaptergegevens
- Toegang tot een scanner (bijvoorbeeld nmap) voor validatie en gecentraliseerde logging
- Rechten om regels voor Windows Defender Firewall en adapterinstellingen toe te passen via GPO of MDM
Met deze voorwaarden op orde kunt u UDP-poort 137 veilig opsporen, blokkeren of uitschakelen zonder onbedoelde verstoringen.
1. Breng in kaart waar UDP 137 wordt gebruikt
Door bestaande listeners op UDP-poort 137 te identificeren, voorkomt u dat services per ongeluk uitvallen.
Start met netwerkdetectie of gerichte scans om de hosts op te sommen die op UDP 137 reageren. Vergelijk de scanresultaten vervolgens met uw inventaris om oudere services te herkennen.
De “listeners” zijn Windows-pc’s in het lokale netwerk die voor naamomzetting en het delen van bestanden en printers afhankelijk zijn van NetBIOS. Moderne omgevingen gebruiken daarentegen doorgaans DNS en SMB via TCP 445.
Zodra u deze inventaris hebt, kunt u de poort veilig beperken of uitschakelen.
2. Blokkeer UDP 137 aan de perimeter en op niet-vertrouwde segmenten
Blokkeer UDP 137 aan de netwerkperimeter en op niet-vertrouwde segmenten om de blootstelling te beperken. Stel inkomende en uitgaande deny-regels voor UDP 137 in op de firewalls aan de internetrand en weiger de poort expliciet op gast-, IoT- en onbeheerde VLAN’s.
Controleer na het invoeren van deze regels of externe scanners UDP-poort 137 niet meer vanaf openbare netwerken kunnen bereiken. Deze blokkade aan de perimeter beperkt het aanvalsoppervlak terwijl u de resterende interne afhankelijkheden beoordeelt en aanpakt.
3. Schakel NetBIOS over TCP/IP uit in Windows
Controleer voordat u iets uitschakelt of de DNS-naamomzetting en eventueel vereiste moderne naamomzettingsdiensten (LLMNR of mDNS, indien ingeschakeld) correct werken. Zet NetBIOS daarna uit op de hosts die het niet meer nodig hebben. NinjaOne-gebruikers kunnen NetBIOS configureren met dit script.
Stel elke netwerkadapter zo in dat NetBIOS in de IPv4-eigenschappen is uitgeschakeld en leg de instelling vervolgens centraal vast via een Group Policy Object of MDM-profiel, zodat deze overal consistent wordt toegepast. Zoals bij elke netwerkaanpassing test u het eerst in een pilotgroep.
4. Beperk interne allow-regels tot gedocumenteerde legacybehoeften
Als bepaalde systemen NetBIOS nog nodig hebben, maakt u nauw afgebakende firewallregels die UDP 137 alleen toestaan tussen de specifieke clientsubnetten en de geïdentificeerde legacyservers. Richt de regels bijvoorbeeld op een beveiligingsgroep of OU (Organizational Unit) en weiger al het overige UDP-verkeer op poort 137.
5. Valideer en monitor de herstelmaatregelen
Controleer na het instellen van de blokkades en de beperkte allow-regels of UDP 137 niet langer op hosts luistert. Voer daarvoor lokaal netstat -an | find "137" uit en scan vanaf een representatieve client met nmap -sU -p 137. Houd de firewall- en beveiligingslogs minstens één volledige lockoutcyclus in de gaten om onverwacht verkeer of mislukte naamomzettingspogingen op te sporen.
6. Los legacyafhankelijkheden op
Verwijder alle resterende afhankelijkheden van NetBIOS voordat u het volledig uitschakelt.
| Actie | Details |
| Vervang NetBIOS-namen door DNS-namen/FQDN’s | Voeg DNS-records toe en werk de zoeksuffixen bij om NetBIOS-lookups uit te sluiten. |
| Werk scripts, snelkoppelingen en configuraties bij | Vervang hard gecodeerde NetBIOS-verwijzingen door volledig gekwalificeerde domeinnamen. |
| Moderniseer print- en bestandssharepaden | Gebruik SMB via TCP 445 met DNS-namen in plaats van NetBIOS-namen. |
| Vernieuw golden images en bevoorradingssjablonen | Zorg dat NetBIOS bij nieuwe installaties standaard is uitgeschakeld. |
| Controleer na de wijzigingen | Test het delen van bestanden, het afdrukken en de connectiviteit van applicaties om te bevestigen dat er niets is misgegaan. |
Zodra deze aanpassingen zijn doorgevoerd, steunt de omgeving niet langer op NetBIOS en kunt u UDP-poort 137 veilig blokkeren.
7. Beheer uitzonderingen en lifecycle
Houd grip op alle toegestane UDP 137-paden door ze als tijdelijke uitzonderingen te behandelen. Beperk deze uitzonderingen vervolgens tot specifieke groepen, subnetten of OU-scopes.
Voer voor onderhoud en monitoring regelmatig controles op UDP 137 uit als onderdeel van uw verharding en uw kwartaalaudits.
NetBIOS-beveiligingsrisico’s aanpakken met NinjaOne
Omdat open NetBIOS-services misbruikt kunnen worden voor enumeratie, spoofing en denial-of-service-aanvallen, hebt u strakkere controles nodig. Bekijk uw netwerkbeleid kritisch om de blootstelling van NetBIOS-services te minimaliseren.
Overweeg daarna moderne, op DNS gebaseerde methoden voor naamomzetting zoals DNS, LLMNR of mDNS. Gebruik tot slot de scriptingmogelijkheden van NinjaOne om NetBIOS op alle apparaten uniform uit te schakelen en tegelijk continue netwerkmonitoring en rapportage mogelijk te maken.
Gerelateerde onderwerpen:
- Wat is een DNS-resolver en hoe stelt u er een in?
- Een DNS-server configureren: een stapsgewijze gids
- Wat is een firewallconfiguratie? Zo stelt u uw firewall in
- Firewall-uitzonderingen configureren met PowerShell [NinjaOne Script Hub]
- TCP- en UDP-verbindingen in Windows monitoren met PowerShell [NinjaOne Script Hub]
