Pontos principais
- O TFTP é inseguro e só deve ser usado quando for absolutamente necessário: a falta de criptografia e autenticação o torna um risco de segurança.
- O cliente TFTP do Windows é opcional e fácil de desativar: deixá-lo ativado sem uso só aumenta a exposição desnecessária.
- Desativar o TFTP não atrapalha o PXE nem a criação de imagens: as operações de PXE não dependem do cliente TFTP do Windows.
- O tráfego TFTP pode ser identificado e controlado pela porta UDP 69: monitoramento e regras de firewall permitem supervisão eficaz e redução de riscos.
- Usos esquecidos de TFTP devem ser detectados e substituídos por protocolos seguros: alternativas modernas e criptografadas deixam a configuração e a atualização de dispositivos mais seguras.
O TFTP é um protocolo de transferência de arquivos inseguro que ainda é bastante usado em tarefas específicas de administração de TI. Justamente por ser inseguro, convém desativar o cliente TFTP nos PCs com Windows sempre que ele não for realmente necessário. Este tutorial explica como desativar o cliente TFTP com segurança no Windows e também como detectar e eliminar serviços TFTP esquecidos pelo caminho.
O que é o TFTP e para que ele serve
O TFTP (Trivial File Transfer Protocol) é um protocolo de transferência de arquivos cliente-servidor sem nenhum mecanismo de criptografia ou autorização. Isso o torna bem pequeno e leve, então ele é usado principalmente em cenários como dispositivos de rede de baixa potência que buscam configurações para gravar firmware, além da inicialização pela rede com PXE (preboot execution environment).
Por exemplo, um dispositivo em modo de recuperação pode tentar localizar um servidor TFTP em um endereço IPV4 específico para procurar uma imagem de sistema a partir da qual se restaurar, sem exigir que o usuário assuma o controle. O DHCP também pode fornecer informações que dispositivos como telefones VOIP usam para localizar servidores TFTP e carregar configurações.
O Windows inclui um cliente TFTP que pode ser ativado com o comando DISM a seguir, que adiciona o recurso opcional TFTP (desativado por padrão):
dism /online /enable-feature /featurename:TFTP /all
Com o cliente TFTP do Windows, administradores de sistemas podem testar o acesso a servidores TFTP ou enviar arquivos. Também existem clientes TFTP de terceiros, distribuídos como executáveis independentes.
O TFTP deve ser desativado? A porta UDP 69 é segura?
Como já dito, o TFTP não é seguro e deve ser tratado como um risco de segurança. Alguns dispositivos dependem dele para funcionar, então mantenha regras de firewall para proteger clientes e servidores TFTP e desative o TFTP sempre que ele não for explicitamente necessário. Se o cliente TFTP do Windows for preciso para uma tarefa administrativa específica, desative-o logo depois.
O TFTP usa a porta 69 UDP, o que permite identificar e bloquear o tráfego TFTP no nível da rede.
O que é necessário para desativar o cliente TFTP no Windows
Para desativar o cliente TFTP no Windows, você vai precisar de:
- acesso administrativo para gerenciar os recursos opcionais do Windows
- regras de firewall nos endpoints e ACLs de perímetro para proteger serviços TFTP expostos
- inventário de endpoints e uma lista de responsáveis por fluxos de inicialização pela rede ou de criação de imagens de dispositivos, garantindo a supervisão
- monitoramento e registro de logs centralizados para verificar o funcionamento e a segurança dos serviços TFTP
Como desativar o TFTP no Windows
Use o comando DISM a seguir para desativar o cliente TFTP opcional do Windows pelo Prompt de Comando ou pelo PowerShell:
dism /online /disable-feature /featurename:TFTP
Você também pode usar este comando do PowerShell:
Disable-WindowsOptionalFeature -Online -FeatureName TFTP
Para isso, é preciso estar conectado como administrador ou usar um prompt elevado.
Para confirmar se o recurso do cliente TFTP está ativado ou desativado, use o comando DISM:
dism /online /get-features
Se precisar ativar ou desativar o cliente TFTP em vários dispositivos de um domínio Windows, adicione esses comandos a um script e faça a implantação com Política de Grupo. Para alcançar um conjunto maior de dispositivos, incluindo aqueles fora do domínio, BYOD ou remotos, implante scripts pela sua solução de gerenciamento de dispositivos móveis (MDM) ou de monitoramento e gerenciamento remoto (RMM).
Monitoramento do uso de TFTP
O TFTP pode ser explorado por invasores, então monitore o uso do protocolo em toda a rede como parte das suas práticas de cibersegurança. Fique de olho no tráfego na porta UDP 69 e confirme que apenas os dispositivos previstos estão usando o TFTP e que esse uso é esperado. Isso também ajuda a identificar dispositivos Windows com algum cliente TFTP de terceiros ou serviços TFTP esquecidos em outras plataformas.
Garanta que os dispositivos com TFTP ativado tenham um responsável: aqueles que usam o protocolo para inicialização, criação de imagens, firmware ou envio de configurações devem estar documentados junto com o engenheiro responsável, sem lacunas na supervisão. Se forem tarefas pontuais, desative o TFTP depois do uso. Revise com regularidade os dispositivos que mantêm o TFTP ativado como parte do processo de governança de TI e avalie se é possível descontinuar esse uso ou migrar para um protocolo mais seguro.
Limite e bloqueie o tráfego TFTP nos endpoints e no perímetro
Se o TFTP continuar ativado em alguns dispositivos, restrinja o tráfego a destinos conhecidos. Os firewalls de perímetro devem bloquear o TFTP de e para redes não confiáveis, inclusive a internet. Bloqueie o TFTP também nos endpoints (com o Firewall do Windows, por exemplo), impedindo o uso de clientes ou servidores TFTP de terceiros.
Ferramentas como a Proteção de Rede do Windows Defender detectam tráfego de rede suspeito e o bloqueiam automaticamente, incluindo solicitações a servidores suspeitos.
Detecte e remova serviços de servidor TFTP esquecidos
Clientes e servidores TFTP também podem ser instalados em dispositivos Linux, Android e macOS. Se detectar tráfego TFTP inesperado na rede, use suas ferramentas de monitoramento e gerenciamento de rede para localizar o dispositivo e desativá-lo. Sempre que possível, substitua o TFTP por uma alternativa segura como SFTP ou HTTPS e reflita essa mudança nos modelos de configuração e nas imagens, para que ele não volte a aparecer no futuro.
Gerencie recursos do Windows, monitore o uso de TFTP e mantenha a supervisão em uma única interface
NinjaOne ajuda a manter o controle e a reduzir os riscos de recursos legados que ainda são necessários em produção. Você pode aplicar configurações que desativam o cliente TFTP nos endpoints Windows e bloqueiam a porta UDP 69, além de configurar alertas ou a criação automática de tickets de suporte caso um uso inesperado de TFTP seja detectado. NinjaOne se integra às principais ferramentas de detecção em endpoints para melhorar o monitoramento, a aplicação de políticas e a supervisão.
Guia de início rápido
NinjaOne consegue desativar o TFTP no Windows?
Resposta curta: NinjaOne não tem uma política pronta e pré-configurada só para desativar o TFTP, mas dá para fazer isso com os recursos de scripts e automação da plataforma.
Como fazer com NinjaOne
Opção 1: implantação de script personalizado
– Use o recurso Execução de scripts do NinjaOne para implantar um script do PowerShell que desative o TFTP
– Crie um script que execute:
powershellDisable-WindowsOptionalFeature -FeatureName TFTP -Online -NoRestart
– Implante por política nos dispositivos desejados
Opção 2: integração com Política de Grupo
– Se a organização usa Política de Grupo, NinjaOne pode monitorar e gerar relatórios sobre o status do serviço TFTP
– Implante configurações de GPO pelo framework de políticas do NinjaOne para desativar o recurso do cliente TFTP
Opção 3: gerenciamento de serviços
– Use os recursos de Gerenciamento de serviços do NinjaOne para:
TftpSvc) como Desativado
Boas práticas para desativar com segurança
Teste primeiro em um grupo pequeno de dispositivos antes da implantação ampla
Documente as dependências — confirme que nenhum aplicativo depende do TFTP
Monitore após a implantação — use os relatórios de conformidade do NinjaOne
Crie um plano de reversão — deixe o script de ativação pronto, caso precise
O que NinjaOne oferece para essa tarefa
– Implantação baseada em políticas em vários dispositivos
– Monitoramento de conformidade para verificar se o TFTP continua desativado
– Registro de atividades para acompanhar quando as mudanças foram feitas
– Relatórios sobre o status do serviço TFTP em toda a frota
