Belangrijkste punten
- TFTP is onveilig en hoort alleen gebruikt te worden wanneer het echt niet anders kan: het ontbreken van versleuteling en authenticatie maakt het een beveiligingsrisico.
- De Windows TFTP-client is optioneel en eenvoudig uit te schakelen: hem ingeschakeld laten terwijl u hem niet gebruikt vergroot onnodig het aanvalsoppervlak.
- TFTP uitschakelen verstoort PXE of imaging niet: PXE-bewerkingen steunen niet op de Windows TFTP-client.
- TFTP-verkeer is te herkennen en te beheersen via UDP-poort 69: met monitoring en firewallregels houdt u effectief toezicht en beperkt u risico’s.
- Los TFTP-gebruik moet worden opgespoord en vervangen door veilige protocollen: moderne versleutelde alternatieven maken het configureren en updaten van devices veiliger.
TFTP is een onveilig protocol voor bestandsoverdracht dat nog altijd veel wordt gebruikt voor specifieke IT-beheertaken. Door dat onveilige karakter kunt u de TFTP-client op Windows-pc’s het beste uitschakelen wanneer die niet actief nodig is. Deze tutorial legt uit hoe u de TFTP-client veilig uitschakelt in Windows en hoe u losse TFTP-services opspoort en opruimt.
Wat is TFTP en waarvoor dient het?
TFTP (Trivial File Transfer Protocol) is een client-serverprotocol voor bestandsoverdracht zonder enige vorm van versleuteling of autorisatie. Daardoor is het bijzonder klein en lichtgewicht. Het wordt daarom vooral gebruikt door netwerkapparaten met weinig rekenkracht om configuraties op te halen voor het flashen van firmware en voor netwerkbooten via PXE (preboot execution environment).
Een device in de herstelmodus kan bijvoorbeeld proberen een TFTP-server op een specifiek IPV4-adres te vinden om daar een systeemimage op te halen, zonder dat de gebruiker hoeft in te grijpen. Ook DHCP kan informatie aanleveren waarmee devices zoals VOIP-telefoons TFTP-servers vinden om hun configuratie van te laden.
Windows bevat een TFTP-client die u kunt inschakelen met het volgende DISM-commando, waarmee u de optionele (en standaard uitgeschakelde) TFTP-functie toevoegt:
dism /online /enable-feature /featurename:TFTP /all
Systeembeheerders kunnen de Windows TFTP-client vervolgens gebruiken om toegang tot TFTP-servers te testen of om bestanden te uploaden. Daarnaast bestaan er TFTP-clients van derden die als zelfstandig programma draaien.
Moet TFTP uitgeschakeld worden? Is UDP-poort 69 veilig?
Zoals gezegd is TFTP niet veilig en moet het als een beveiligingsrisico worden beschouwd. Sommige devices hebben het nodig om te functioneren, maar dan nog horen er firewallregels te zijn die TFTP-clients en -servers beschermen. Schakel TFTP uit overal waar het niet uitdrukkelijk nodig is. Hebt u de Windows TFTP-client voor een specifieke beheertaak nodig, schakel die dan daarna weer uit.
TFTP gebruikt UDP-poort 69, waardoor TFTP-verkeer op netwerkniveau te herkennen en te blokkeren is.
Wat u nodig hebt om de TFTP-client in Windows uit te schakelen
Om de TFTP-client in Windows uit te schakelen, hebt u het volgende nodig:
- Beheerdersrechten om optionele Windows-functies te beheren
- Firewallregels op endpoints en ACL’s op de perimeter om blootgestelde TFTP-services te beschermen
- Een inventaris van endpoints en een lijst met eigenaren van alle workflows voor netwerkbooten of device-imaging, zodat het toezicht geborgd is
- Centrale monitoring en logging om de werking en de beveiliging van TFTP-services te controleren
Hoe schakel ik TFTP uit in Windows?
Gebruik het volgende DISM-commando om de optionele Windows TFTP-client uit te schakelen via de opdrachtprompt of PowerShell:
dism /online /disable-feature /featurename:TFTP
U kunt ook dit PowerShell-commando gebruiken:
Disable-WindowsOptionalFeature -Online -FeatureName TFTP
U moet hiervoor als beheerder zijn aangemeld of een prompt met verhoogde rechten gebruiken.
Met het DISM-commando controleert u of de TFTP-clientfunctie in- of uitgeschakeld is:
dism /online /get-features
Moet u de TFTP-client op meerdere devices in een Windows-domeinomgeving in- of uitschakelen, zet deze commando’s dan in een script en rol ze uit via Group Policy. Wilt u een bredere groep devices bereiken, inclusief devices buiten het domein, BYOD-devices of devices op afstand, gebruik dan uw mobile device management (MDM)– of remote monitoring and management (RMM)-oplossing om scripts uit te rollen.
Monitoring van TFTP-gebruik
TFTP kan door hackers worden misbruikt. Houd het TFTP-gebruik in uw netwerk daarom in de gaten als onderdeel van uw cybersecuritypraktijk. Let op verkeer op UDP-poort 69 en controleer of alleen de bedoelde devices actief TFTP gebruiken en of dat gebruik ook verwacht is. Zo spoort u ook Windows-devices op die mogelijk een TFTP-client van derden draaien of losse TFTP-services op andere platforms.
Zorg dat elk device met TFTP ingeschakeld een eigenaar heeft: devices die het protocol gebruiken voor booten, imaging, firmware of het uitrollen van configuraties moeten gedocumenteerd zijn met de verantwoordelijke engineer, zodat er geen gaten in het toezicht vallen. Gaat het om eenmalige taken, schakel TFTP dan na gebruik uit. Beoordeel devices waarop TFTP ingeschakeld blijft regelmatig als onderdeel van uw IT-governance en ga na of u het gebruik kunt beëindigen of kunt overstappen op een veiliger protocol.
TFTP-verkeer beperken en blokkeren op endpoints en de perimeter
Blijft TFTP op devices ingeschakeld, beperk het verkeer dan tot bekende bestemmingen. Uw perimeterfirewalls horen TFTP van en naar niet-vertrouwde netwerken (waaronder het internet) te blokkeren. Zorg er ook voor dat TFTP op endpoints geblokkeerd is (bijvoorbeeld met Windows Firewall), zodat TFTP-clients of -servers van derden niet gebruikt kunnen worden.
Tools zoals Windows Defender-netwerkbeveiliging kunnen verdacht netwerkverkeer detecteren en automatisch blokkeren, inclusief verzoeken aan verdachte servers.
Losse TFTP-serverservices opsporen en verwijderen
TFTP-clients en -servers kunnen ook op Linux-, Android- en macOS-devices worden geïnstalleerd. Detecteert u onverwacht TFTP-verkeer in uw netwerk, gebruik dan uw tools voor netwerkbeheer om het device te vinden en uit te schakelen. Vervang TFTP waar mogelijk door een veilig alternatief zoals SFTP of HTTPS en verwerk dat ook in uw configuratiesjablonen en images, zodat het later niet opnieuw opduikt.
Windows-functies centraal beheren, TFTP-gebruik monitoren en toezicht houden vanuit één interface
NinjaOne helpt u grip te houden op verouderde functies die nog in productie nodig zijn en de risico’s ervan te beperken. U kunt configuraties afdwingen die de TFTP-client op Windows-endpoints uitschakelen en UDP-poort 69 blokkeren en u kunt notificaties of het automatisch aanmaken van supporttickets instellen wanneer onverwacht TFTP-gebruik wordt gedetecteerd. NinjaOne integreert met toonaangevende tools voor endpointdetectie voor betere monitoring, beleidshandhaving en toezicht.
Quick-start guide
Kan NinjaOne TFTP uitschakelen in Windows?
Kort antwoord: NinjaOne heeft geen ingebouwd, vooraf geconfigureerd beleid specifiek voor het uitschakelen van TFTP, maar u kunt dit realiseren met de scripting- en automatiseringsmogelijkheden van NinjaOne.
Zo doet u dat met NinjaOne
Optie 1: eigen script uitrollen
– Gebruik de functie Script Execution van NinjaOne om een PowerShell-script uit te rollen dat TFTP uitschakelt
– Maak een script dat het volgende uitvoert:
powershellDisable-WindowsOptionalFeature -FeatureName TFTP -Online -NoRestart
– Rol het uit via beleid naar de gewenste devices
Optie 2: integratie met Group Policy
– Gebruikt uw organisatie Group Policy, dan kan NinjaOne de status van de TFTP-service monitoren en erover rapporteren
– Rol GPO-instellingen uit via het beleidskader van NinjaOne om de TFTP-clientfunctie uit te schakelen
Optie 3: servicebeheer
– Gebruik de mogelijkheden voor Service Management van NinjaOne om:
TftpSvc) op Uitgeschakeld te zetten
Beste praktijken voor veilig uitschakelen
Test eerst op een kleine groep devices voordat u breed uitrolt
Documenteer afhankelijkheden – controleer of geen enkele applicatie op TFTP steunt
Monitor na de uitrol – gebruik de compliancerapportage van NinjaOne
Maak een terugrolplan – houd het script om TFTP weer in te schakelen paraat
Wat NinjaOne hiervoor biedt
– Uitrol op basis van beleid over meerdere devices
– Compliance-monitoring om te controleren of TFTP uitgeschakeld blijft
– Activiteitenlogging om bij te houden wanneer wijzigingen zijn doorgevoerd
– Rapportage over de status van de TFTP-service in uw hele wagenpark aan devices
