Pontos principais
- Consciência do risco do SMB: a porta TCP 445 é essencial para o funcionamento do SMB, mas representa um risco grave de segurança quando fica exposta a redes públicas ou não confiáveis.
- Identifique as dependências: mapear servidores, clientes e fluxos de trabalho SMB garante um escopo seguro e evita interromper operações críticas.
- Defina o escopo e bloqueie o tráfego: bloqueie a porta TCP 445 no perímetro e nas zonas não confiáveis, liberando apenas os caminhos SMB internos aprovados.
- Fortaleça o SMB: reforce a segurança desativando o SMB1, exigindo assinatura e adotando alternativas modernas, como SMB over QUIC.
- Implante e governe: aplique as regras com segurança, monitore interrupções e mantenha uma governança rígida de exceções para proteção duradoura.
A porta 445 dá suporte ao Server Message Block (SMB, o protocolo de compartilhamento de arquivos do Windows, que não deve ser confundido com a sigla usada para pequenas e médias empresas). O SMB permite que usuários compartilhem arquivos, impressoras e outros recursos de dispositivos.
Este guia traz uma abordagem independente de fornecedor que equipes de TI e MSPs podem usar para bloquear ou delimitar com segurança a porta TCP 445 no Windows.
Atividades de rede não autorizadas criam riscos desnecessários.
→ Experimente o monitoramento de TI em tempo real para grandes empresas
Como proteger a porta 445: guia passo a passo
Bloquear a TCP 445 parece a solução óbvia, mas pode interromper operações de domínio, transferências de arquivos e fluxos de trabalho críticos de gerenciamento. Os passos a seguir mostram como administradores de TI podem reduzir os riscos ligados à porta TCP 445 sem causar paradas operacionais.
📌 Pré-requisitos: os itens abaixo tornam a execução dos passos mais eficiente:
- Inventário de serviços e hosts que dependem do SMB
- Definição da janela de mudança e do anel piloto
- Capacidade de implantar o Firewall do Windows Defender ou regras equivalentes via GPO ou MDM
- Registro centralizado de logs de eventos de firewall e falhas de autenticação
Passo 1: identifique onde o SMB é necessário
O Server Message Block (SMB) é um protocolo de comunicação em rede que permite aos computadores compartilhar arquivos, impressoras, portas seriais e outros recursos. Saber onde o SMB é necessário e quais são os caminhos SMB legítimos dentro da organização é o primeiro passo para reduzir os riscos ligados à porta TCP 445.
Esse primeiro passo envolve:
- Identificar servidores de arquivos, controladores de domínio, servidores de impressão e compartilhamentos administrativos que precisam continuar acessíveis.
- Mapear os grupos de clientes que acessam esses servidores de forma legítima.
- Anotar os casos de uso de acesso remoto e alternativas como VPN, SMB over QUIC ou gateways de arquivos. O suporte ao SMB over QUIC agora abrange todas as edições do Windows Server 2025 (antes, apenas a Azure Edition), o que o torna uma opção mais acessível para proteger o acesso remoto ao SMB sem expor a porta TCP 445.
Passo 2: bloqueie a porta TCP 445 no perímetro e nas zonas não confiáveis
Bloquear a TCP 445 em zonas não confiáveis é fundamental, pois reduz a exposição a ameaças cibernéticas. Além disso, é essencial garantir que o tráfego SMB nunca fique exposto na borda da internet, para evitar ataques SMB vindos de fora.
Algumas formas de proteger a porta TCP 445 nessas zonas:
Bloqueios no perímetro
Aplique bloqueio de entrada e saída da 445 no firewall ou na borda da nuvem para eliminar ameaças vindas da internet, como scanners, exploits e cargas de ransomware.
Proteções por segmentação
Segmentos não confiáveis ou não gerenciados — como Wi-Fi de visitantes, sensores IoT e dispositivos BYOD — não devem se comunicar com os serviços SMB corporativos.
Proteção de usuários remotos
Garanta que os endpoints remotos não publiquem a 445 por acidente em redes domésticas ou públicas. Aplique regras de firewall no host para bloquear SMB de entrada, exceto em uma rede de domínio confiável.
Passo 3: delimite o acesso interno com privilégio mínimo
Limitar o acesso interno dos usuários reduz o tráfego interno e, com isso, contém o movimento lateral. Ao definir protocolos de acesso interno baseados em privilégio, os administradores de TI garantem que apenas os fluxos SMB aprovados funcionem.
Algumas formas de fazer isso:
- Criar regras no firewall do Windows que liberem a 445 somente entre sub-redes de clientes aprovadas e hosts SMB aprovados
- Direcionar as exceções por política baseada em grupos e manter uma lista de permissões explícita
- Negar todo o restante do tráfego na 445 dentro da LAN e nos links entre sites
Passo 4: fortaleça o SMB antes e depois do bloqueio
Fortalecer o SMB é um passo essencial para bloquear ou delimitar a porta TCP 445 com segurança. Na prática, para a maioria das organizações, isso deve fazer parte de uma estratégia de defesa em profundidade. Esse passo reforça a segurança do protocolo SMB e reduz o sucesso de tentativas de autenticação e de ataques de retransmissão, mesmo em caminhos bloqueados.
Algumas práticas que podem ser adotadas:
- Desativar o SMB1 em todos os sistemas
- Exigir assinatura SMB por padrão
- Revisar as configurações do controlador de domínio e do servidor de arquivos
- Usar SMB over QUIC em cenários remotos para não expor a 445 entre redes
Passo 5: implante as regras via GPO ou MDM
Os passos anteriores trataram do reforço da segurança; este trata da implantação nos diferentes endpoints da rede. Fazer essas mudanças via GPO ou MDM permite aos administradores de TI aplicar novas políticas de forma segura e reversível. Além disso, essa abordagem ajuda a detectar quebras não intencionais mais rápido e a corrigi-las com mais eficiência.
Algumas boas práticas:
- Testar com um anel piloto pequeno e ativar o log detalhado do firewall
- Aplicar regras de entrada e saída com precedência clara e documentação
- Manter um script de reversão já testado para remover ou flexibilizar regras rapidamente, se necessário
Passo 6: verifique e monitore as mudanças
Atualizações no ambiente devem ser sempre documentadas, verificáveis e monitoradas. Este passo permite confirmar que as mudanças funcionam como esperado e não atrapalham fluxos de trabalho críticos.
Nesta fase, vale adotar as seguintes práticas:
- Testar a acessibilidade da rede com Test-NetConnection -ComputerName <server> -Port 445
- Validar o acesso aos compartilhamentos de arquivos, o processamento de GPO e a autenticação, quando aplicável
- Revisar os logs do firewall em busca de negações, especialmente quando houver relação com tickets do help desk
- Ajustar as listas de permissões conforme os dados observados
Passo 7: governe exceções e ciclos de vida
Por fim, manter a governança garante controle adequado sobre os protocolos SMB e evita o crescimento de exceções descontroladas, que enfraquecem a segurança com o tempo.
Este passo é contínuo, assim como o monitoramento, e envolve:
- Registrar responsável, motivo e prazo de validade de cada exceção na 445
- Revisar as exceções com regularidade (em geral, todo mês) e remover ou restringir o que for possível e necessário
- Incluir os controles necessários na baseline de hardening e auditá-los em verificações trimestrais
Integre NinjaOne aos seus protocolos SMB
Com NinjaOne, administradores de TI gerenciam a infraestrutura de TI de forma estratégica. Veja algumas formas de incorporar isso à estratégia de segurança:
Implantação de regras de firewall
NinjaOne ajuda a delimitar e automatizar configurações de segurança em toda a rede, incluindo a implantação de scripts e políticas que apoiam o gerenciamento de regras de firewall nos endpoints gerenciados.
Logs completos
Com a plataforma, administradores de TI coletam logs detalhados de autenticação e segurança, acompanham o uso do protocolo SMB e identificam possíveis eventos de segurança. Além disso, o recurso de relatórios do NinjaOne permite gerar relatórios completos de exceções para as revisões mensais com clientes.
Monitoramento proativo
Saia na frente com protocolos de monitoramento proativo. Eles detectam e alertam sobre a presença do SMB1 e disparam automaticamente os scripts de correção adequados (disponíveis em NinjaOne). Combinados com as demais medidas de segurança, esses recursos ajudam a manter a rede protegida apesar dos riscos.
Reúna suas ferramentas de monitoramento de TI em um único console fácil de usar.
Proteja sua rede com medidas de segurança para a porta TCP 445
Bloquear ou delimitar bem a porta TCP 445 reduz de forma significativa o risco do SMB, desde que feito com descoberta, implantação em etapas e verificação contínua. Combine os controles de rede com o fortalecimento do SMB e uma gestão disciplinada de exceções para uma proteção duradoura.
Temas relacionados:
