SMB sicher nutzen
Protokollführer
Veröffentlicht in Ausgabe 05/2024 - SCHWERPUNKT
Server Message Block (SMB) ist ein Netzwerkprotokoll, das für den Zugriff auf Dateien, Drucker und andere Ressourcen in einem Netzwerk zum Einsatz kommt. Die Entwicklung von SMB umfasst mehrere Versionen, beginnend mit SMB 1.0, das in den frühen 1980er Jahren eingeführt wurde, gefolgt von SMB 2.0, das in Windows Vista/Server 2008 integriert ist, SMB 2.1 mit Windows 7/ Server 2008 R2, SMB 3.0 mit Windows 8/Server 2012 und der neuesten Iteration SMB 3.1.1 mit Windows 10/Server 2016. Außerdem gibt es ständig Weiterentwicklungen, zum Beispiel in Windows Server 2019 und 2022 sowie in Windows 11.
SMB-Verkehr gegen Cyberangriffe schützen
In Microsoft-Netzwerken sollten nur aktuelle SMB-Versionen zum Einsatz kommen, denn diese bieten neben verbesserten Verschlüsselungsmethoden auch zusätzliche Funktionen wie Mehrkanaltechnologie, die einen höheren Durchsatz und Netzwerkfehlertoleranz ermöglichen. Die Verwendung älterer SMB-Versionen, insbesondere von SMB 1, birgt ganz erhebliche Sicherheitsrisiken.
Denn gerade diese Version ist anfällig für verschiedene Arten von Angriffen, einschließlich Man-in-the-Middle-Attacken und Ransomware wie WannaCry, die sich durch Ausnutzung von Schwachstellen in SMB 1.0 schnell verbreiten konnte.
Server Message Block (SMB) ist ein Netzwerkprotokoll, das für den Zugriff auf Dateien, Drucker und andere Ressourcen in einem Netzwerk zum Einsatz kommt. Die Entwicklung von SMB umfasst mehrere Versionen, beginnend mit SMB 1.0, das in den frühen 1980er Jahren eingeführt wurde, gefolgt von SMB 2.0, das in Windows Vista/Server 2008 integriert ist, SMB 2.1 mit Windows 7/ Server 2008 R2, SMB 3.0 mit Windows 8/Server 2012 und der neuesten Iteration SMB 3.1.1 mit Windows 10/Server 2016. Außerdem gibt es ständig Weiterentwicklungen, zum Beispiel in Windows Server 2019 und 2022 sowie in Windows 11.
SMB-Verkehr gegen Cyberangriffe schützen
In Microsoft-Netzwerken sollten nur aktuelle SMB-Versionen zum Einsatz kommen, denn diese bieten neben verbesserten Verschlüsselungsmethoden auch zusätzliche Funktionen wie Mehrkanaltechnologie, die einen höheren Durchsatz und Netzwerkfehlertoleranz ermöglichen. Die Verwendung älterer SMB-Versionen, insbesondere von SMB 1, birgt ganz erhebliche Sicherheitsrisiken.
Denn gerade diese Version ist anfällig für verschiedene Arten von Angriffen, einschließlich Man-in-the-Middle-Attacken und Ransomware wie WannaCry, die sich durch Ausnutzung von Schwachstellen in SMB 1.0 schnell verbreiten konnte.
Darüber hinaus ist SMB generell anfällig, wenn das Protokoll nicht angemessen geschützt wird. Zu den Schutzmaßnahmen gehören neben dem Deaktivieren von SMB 1.0 das Verwenden von Verschlüsselung oder das Signieren von Datenübertragungen, die Beschränkung des Zugriffs auf SMB-Ressourcen auf der Grundlage von Benutzerberechtigungen und die Implementierung von Netzwerksegmentierung, um den Zugriff auf kritische Systeme zu kontrollieren. Die Einhaltung dieser Maßnahmen ist entscheidend, um die Integrität der über SMB bereitgestellten Dienste zu gewährleisten.
Windows Server 2025 mit SMB-Verbesserungen
In Windows 11 ab Build 25987 und in Windows Server 2025 kommen weitere SMB-Verbesserungen, mit denen Sie zum Beispiel festlegen können, dass Clients und Server nur verschlüsselte SMB-Verbindungen akzeptieren. Dazu konfigurieren Sie alle Clients so, dass sie möglichst SMB 3.x verwenden. Ältere Versionen werden dadurch von den Clients und Servern ignoriert.
Bei der Verschlüsselung arbeitet SMB in Windows 10 mit AES-GCM, Windows 11 und Windows Server 2022/2025 unterstützen an dieser Stelle bereits AES-256-GCM. Die Verschlüsselung belastet natürlich die CPU und den Arbeitsspeicher von Client und Server, sodass die Geräte entsprechend leistungsfähig sein sollten. Vor allem bei den Servern sollten Sie daher genügend Performancepotenzial vorhalten, wenn mehrere Clients gleichzeitig eine verschlüsselte Verbindung aufbauen.
Bei der Verwendung von Windows Server 2025 können Sie zukünftig auch SMB-over-QUIC nutzen. Diese Technologie hatte Microsoft zwar schon in Windows Server 2022 eingeführt, allerdings nur in der Azure-Edition, die nur in der Azure-Cloud und in Azure Stack HCI verfügbar war. Ab Server 2025 lässt sich diese Technologie in allen Editionen nutzen – wir gehen später noch genauer darauf ein.
Version prüfen und SMB 1 abschalten
Aktuelle Windows-Clients und andere Betriebssysteme unterstützen in den meisten Fällen SMB 3.x. Auch Samba unterstützt ab der Version 4.3 SMB 3.x. Es lohnt sich also für Unternehmen, die auf Windows 10/11 setzen oder Samba-Server im Netzwerk einsetzen, auf die neue Samba-Version 4.x zu aktualisieren. Generell sollten Sie prüfen, ob auf Servern noch die älteren und unsichereren Versionen SMB 1 und SMB 2 aktiv sind. Ob SMB 1 noch sein Unwesen treibt, finden Sie in der PowerShell mit folgendem Befehl heraus:
Get-WindowsOptionalFeature -Online -FeatureName smb1protocol
Hier sollte bei State "Disabled" zu lesen sein. Ist die alte Version noch aktiv, deaktivieren Sie diese in der PowerShell mit dem Cmdlet
Disable-WindowsOptionalFeature -Online -FeatureName smb1protocol
Grundsätzlich sollte SMB 1 in keinem Netzwerk mehr zum Einsatz kommen. Wenn Sie Clients nutzen, die SMB in dieser Version benötigen, sollten Sie diese unbedingt ersetzen. Die Sicherheitsrisiken überwiegen den Nutzen bei weitem. Ist kein Gerät mehr auf SMB 1 angewiesen, entfernen Sie die Uralt-Version mit
Remove-WindowsFeature FS-SMB1 komplett aus Windows Server 2022.Sind Sie sich unsicher, können Sie bei Servern mit Windows Server 2022 überwachen, ob noch Clients mit SMB 1 zugreifen. In diesem Fall schaltet der Server für diese Verbindung in den unsicheren SMB-1-Modus. Um die Überwachung zu aktivieren, verwenden Sie die PowerShell und folgendes Kommando:
Set-SmbServerConfiguration -AuditSmb1Access $true
Um zu kontrollieren, ob es noch Clients im Netzwerk gibt, die per SMB 1 unterwegs sind, verwenden Sie ebenfalls die PowerShell:
Get-WinEvent -LogName Microsoft-Windows-SMBServer/Audit
Auch an SMB 2 nagt der Zahn der Zeit
Die Deaktivierung von SMB 2 in Unternehmensnetzwerken ist ebenfalls sinnvoll, um potenzielle Schwachstellen zu beseitigen und die Netzwerksicherheit zu erhöhen. Denn Version 2 verfügt nicht über erweiterte Sicherheitsfunktionen – insbesondere unterstützt SMB 2.0 keine modernen Verschlüsselungstechniken, um Datenübertragungen vor unberechtigtem Zugriff und Abhören zu schützen.
Die Entscheidung, SMB 2 abzuschalten, sollte mit einer umfassenden Überprüfung und Aktualisierung der Netzwerkinfrastruktur einhergehen. Sie sollten sicherstellen, dass alle Netzwerkkomponenten und angeschlossenen Geräte mit den neueren Versionen 3.x kompatibel sind. Dieser Schritt erfordert eine sorgfältige Planung und möglicherweise eine Schulung des IT-Personals, um eine reibungslose Umstellung und einen unterbrechungsfreien Betrieb des Netzwerks zu gewährleisten. Auch der Status von SMB 2.0 auf dem Server lässt sich über die PowerShell anzeigen:
Get-SmbServerConfiguration | Select EnableSMB2Protocol
Um SMB 2.0 dann in Ihrem Netzwerk zu deaktivieren, verwenden Sie
Set-SmbServerConfiguration -EnableSMB2Protocol $false
Bei der Nutzung von SMB ab Windows Server 2022 versuchen Clients und Server, die Daten mit HTTPS oder TLS 1.3 zu verschlüsseln, insbesondere wenn Windows 10 oder Windows 11 als Clients zum Einsatz kommen. Sollte es nach der Deaktivierung von SMB 2.0 zu Problemen kommen, zum Beispiel bei älteren Clients, lässt sich SMB 2 mit folgendem Befehl wieder aktivieren:
Set-SmbServerConfiguration -EnableSMB2Protocol $true
SMB-Verschlüsselung im Netzwerk erzwingen
Bei SMB 3 ist es möglich, die Verbindung zwischen Client und Server zu verschlüsseln. Windows 11 ab Build 25987 kann zusätzlich die Verschlüsselung und die Nutzung von SMB 3 im SMB-Client erzwingen. Damit stellen Sie sicher, dass Clients und Server auf dem maximal geschützten Weg miteinander kommunizieren. Wenn dann Client oder Server SMB 3 nicht verwenden, blockiert Windows die Verbindung. Es ist zu erwarten, dass die gleiche Einstellung auch für Windows Server 2025 kommen wird. Da die Verteilung über Gruppenrichtlinien erfolgt, ist die Integration in das Active Directory auch auf Basis von Windows Server 2022 möglich. Nur lässt sich hier der Zugriff ausschließlich blockieren, wenn der Client SMB 3 beherrscht.
Wenn Sie die SMB-Verschlüsselung verwenden wollen, müssen Sie also sicherstellen, dass sowohl Client als auch Server die erforderliche SMB-Version unterstützen und korrekt konfiguriert sind. Es ist wichtig, die Verschlüsselung für alle sensiblen Datenfreigaben zu aktivieren und gleichzeitig eine angemessene Netzwerkleistung sicherzustellen, da die Verschlüsselung wie bereits erwähnt zusätzliche CPU-Ressourcen beansprucht. Idealerweise finden deshalb im Netzwerk Windows Server 2022 und Windows 11 Verwendung.
Die Aktivierung der SMB-Verschlüsselung erfolgt für Windows 11 über die Einstellung "Verschlüsselung erforderlich" unter "Computerkonfiguration / Administrative Vorlagen / Netzwerk / LanMan Workstation".
Dazu kommen die neuen Gruppenrichtlinienvorlagen für Windows 11 Version 23H2 [1]. In der PowerShell aktivieren Sie in Windows 11 ab Version 25987 die SMB-Verschlüsselung so:
Set-SmbClientConfiguration -RequireEncryption $true
Ob die Verschlüsselung aktuell erzwungen wird, fragen Sie mit folgendem Befehl ab:
Get-SmbClientConfiguration | fl RequireEncryption
Dateiserver mit SMB-Signatur sichern
Unabhängig von der Verschlüsselung bietet Windows Server 2019/2022 die Möglichkeit, SMB-Pakete zu signieren. Dies verhindert gefälschte SMB-Pakete, die Cyberkriminelle für Angriffe nutzen können. Im Allgemeinen ist es selten sinnvoll, Pakete zu verschlüsseln und zusätzlich auch noch zu signieren. Die Verschlüsselung reicht in der Regel aus, da die Pakete dann auch signiert sind. Wenn die Performance dafür aber nicht ausreicht, können Sie nur mit SMB-Signaturen arbeiten, sodass Clients und Server stets sicher sein können, dass die Pakete korrekt und nicht manipuliert sind.
Die dafür notwendigen Settings finden Sie in den Gruppenrichtlinien unter "Computerkonfiguration / Richtlinien / Windows-Einstellungen / Sicherheitseinstellungen / Lokale Richtlinien / Sicherheitsoptionen“. Die Einstellung müssen Sie für Clients und Server vornehmen. Sie lautet "Microsoft Netzwerk (Server | Client) Kommunikation digital signieren (immer)".
Ob die Signierung auf Client und Server aktiv ist, lässt sich mit den beiden folgenden Befehlen kontrollieren:
Get-SmbClientConfiguration | select RequireSecuritySignature
Get-SmbServerConfiguration | select RequireSecuritySignature
Standardmäßig sind die Signaturen deaktiviert. Nach der Aktivieruung über Gruppenrichtlinien sollten die beiden Befehle für SMB-Clients und -Server die erfolgreiche Umsetzung anzeigen. Wenn Sie das Aktivieren nicht über Gruppenrichtlinien, sondern lokal durchführen möchten, ist dies erneut mithilfe der PowerShell möglich:
Set-SmbServerConfiguration -RequireSecuritySignature $true
Set-SmbClientConfiguration -RequireSecuritySignature $true
SMB zwischen Servern richtig nutzen
Sind im Unternehmen mehrere Server mit Windows Server 2022 im Einsatz, tauschen diese mit der Multichannel-Funktion Daten über das Netzwerk aus. Das gilt auch für den Nachfolger Windows Server 2025. Die Funktion ermöglicht mehrere parallele Zugriffe von einem Server auf eine Freigabe. Das beschleunigt den Datenverkehr und sichert ihn zudem gegen den Ausfall eines einzelnen SMB-Kanals ab, so dass die Verbindungen stabiler werden.
Der Vorteil liegt darin, dass Serverdienste Daten auch auf Servern und nicht nur auf der eigenen Festplatte speichern können. Ein sinnvoller Einsatz bietet sich in Umgebungen mit Hyper-V-Hosts, die auf Windows Server 2022 basieren. Dazu ist weder die Installation eines Rollendiensts noch eine Konfiguration notwendig. Windows Server 2022 stellt diesen beschleunigten Zugriff automatisch zur Verfügung.
Für diese Technologie müssen die Netzwerkadapter eine entsprechende Geschwindigkeit unterstützen. Microsoft empfiehlt entweder die Installation eines 10-GBit/s-Adapters oder mindestens den Einsatz von zwei 1-GBit/s-Karten. Für diese Funktion können Sie auch die Teamfunktion der Netzwerkkarten in Windows Server 2022 nutzen. Über den Server Manager fassen Sie Netzwerkadapter zu Teams zusammen, selbst wenn die NIC-Treiber dies nicht direkt unterstützen.
SMB Direct ist auch zwischen Servern mit Windows Server 2022 aktiv. Es sind keine Einstellungen oder Installationen notwendig. Um davon Gebrauch zu machen, müssen die installierten Adapter die RDMA-Funktion (Remote Direct Memory Access) unterstützen. Mit dieser können Server Daten aus dem Hauptspeicher eines Systems über das Netzwerk auf einen anderen Server auslagern, der freie Kapazitäten hat.
Damit das funktioniert, muss das Netzwerk schnell sein und die Adapter müssen diese Funktion vorhalten. Dies sind NICs vom Typ iWARP, Infiniband und RDMA-over-Converged-Ethernet (RoCE). Von dieser Technologie profitieren besonders Hyper-V und SQL Server.
Scale-out-File-Server profitieren von SMB 3
Beim Einsatz eines Scale-out-File-Servers (SOFS) werden die Shares im Clustermanager angelegt, die Daten liegen auf an den Cluster angeschlossenen Speichersystemen, die Anbindung erfolgt über SMB 3. Im Vergleich zu herkömmlichen Fileservern ermöglichen SOFS ein effizienteres Speichermanagement und eine Leistungssteigerung, insbesondere in Umgebungen mit hoher IO-Last. Durch ihre Cluster-Architektur ermöglichen SOFS eine kontinuierliche Verfügbarkeit der Dateispeicherressourcen, das heißt, bei Wartungsarbeiten oder Ausfall einzelner Serverkomponenten bleibt der Zugriff auf die Dateien ungestört. Da bei Clustern die Hardwareleistung in der Regel ausreicht, sollte die Aktivierung der Verschlüsselung kein Problem darstellen.SOFS unterstützt ferner automatisches Failover und Lastverteilung, wodurch eine hohe Zuverlässigkeit und Performance für Dateidienste in virtualisierten und Cloudumgebungen erreicht wird. Im Gegensatz zu Standard-Dateiservern, die oft durch die Kapazität eines einzelnen Servers begrenzt sind, ermöglicht SOFS die Skalierung über mehrere Knoten hinweg, wodurch sich die Speicherkapazität als auch die Performance erhöhen lassen. Gleichzeitig können Sie den Datenverkehr durch SMB-Verschlüsselung absichern.Im Cluster kann der SOFS die aktiven Zugriffe auf alle Clusterknoten verteilen. Dies wirkt sich positiv auf die Performance aus. Dadurch ist auch ein transparentes Failover mit SMB 3.x möglich. Sind Wartungsarbeiten an einem Knoten notwendig, leitet der Cluster die Zugriffe des Knotens auf andere Knoten um. Die Benutzer merken davon nichts. Windows-Server und Windows-Clients mit Windows 10/11 nutzen dazu das transparente Failover in SMB 3.x.
Nutzen auch für Hyper-V
Hyper-V kann in Windows Server 2022 auch direkt auf das SMB-Protokoll zugreifen. Die Idee dahinter ist, dass Unternehmen die virtuellen Festplatten in Hyper-V nicht direkt auf dem Host speichern, sondern auf einer Freigabe im Netzwerk. So kommt Hyper-V mit SMB Multichannel, SMB Direct und Hyper-V-over-SMB sehr schnell an die notwendigen Daten.
Auch Hochverfügbarkeitsansätze wie Livemigration funktionieren auf diesem Weg. Das gemeinsame Volume des Clusters muss sich nicht mehr in einem SAN befinden, sondern es genügt ein Server mit Windows Server 2022 und ausreichend Speicherplatz. Auf diesem Rechner lassen sich zudem die Konfigurationsdateien der virtuellen Server und eventuell vorhandene Snapshots ablegen.
Cluster Shared Volume (CSV), der von Hyper-V benötigte Speicherdienst für gemeinsame Volumes in Clustern, unterstützt ebenfalls das SMB-3.x-Protokoll und dessen Funktionen. CSV ist die Basis für die Speicherung von virtuellen Datenträgern in Clustern. Dazu muss auf allen Servern Windows Server 2022 installiert sein. Ein Server läuft in der Rolle Hyper-V, der andere als Fileserver. Die Umgebung muss zudem über ein Active Directory verfügen. Hier müssen die Domänencontroller aber nicht zwingend auf Windows Server 2022 umgestellt sein.
Setzen Unternehmen neben Windows Server 2022 auch SQL Server ein, profitieren die Datenbankserver ebenfalls vom aktuellen SMB-Protokoll. Hier gelten die gleichen Voraussetzungen wie für Hyper-V-over-SMB. Clusterknoten unterstützen in Windows Server 2022 die Verschlüsselung für die interne Kommunikation. Dies gilt auch für den Zugriff auf Cluster Shared Volumes und für die Kommunikation in Storage Spaces Direct. Bei der Verwendung von RDMA und SMB Direct setzt Windows Server 2022 auf AES-128 und AES-256. SMB 3 entfaltet daher auch hier seine Vorteile.
SMB-over-QUIC in Azure und Windows Server 2025
Bei SMB-over-QUIC verbinden sich Client und Server mit Server Quick UDP Internet Connections (QUIC) für die SMB-Verbindung. Serverseitig können dies nur "Windows Server 2022 Datacenter: Azure Edition" und Windows Server 2025. Diese Verbindungen sind schneller und sicherer. SMB-Zugriffe über die Cloud sind so geschützt und schnell durchführbar. Bei SMB-over-QUIC erfolgt die Verschlüsselung der Daten mit TLS 1.3.
Microsoft implementiert QUIC unter dem Namen MsQuic [2] und integriert die Unterstützung für diese Technologie in Windows 10 ab Version 21H2, Windows 11 und Windows Server 2022. Die Funktion ist vor allem dann sinnvoll, wenn Daten über die Cloud oder das Internet via SMB übertragen werden sollen, ohne auf VPNs zurückzugreifen. In Windows Server 2025 ist SMB-over-QUIC in allen Editionen enthalten, sodass es beispielsweise auch mit Microsoft Entra Global Secure Access zusammenspielt.
Bei der Verwendung von SMB-over-QUIC mit "Windows Server 2022 Datacenter: Azure Edition" kommt ebenfalls eine Verschlüsselung zwischen Client und Server zum Einsatz. In diesem Fall verwendet SMB-over-QUIC TLS 1.3. Der Fokus liegt vor allem auf Dateiservern, die Daten über das Internet und die Cloud per SMB austauschen sollen. Der Ansatz kann die Einrichtung von VPNs ersetzen. Zur Verwaltung von SMB-over-QUIC benötigen Sie ein Zertifikat, das Sie über das Windows Admin Center oder die PowerShell einrichten. Dabei kann es sich um ein öffentliches Zertifikat handeln oder Sie nutzen dafür Zertifikate des AD-Zertifikatsdiensts.
Um SMB-over-QUIC zu nutzen, klicken Sie im Windows Admin Center in den Servereinstellungen unter "Dateifreigaben (SMB Server)" auf "Konfigurieren". Ist dies erfolgt, drücken Sie auf "Aktivieren", um SMB-over-QUIC zu verwenden. In den Standardeinstellungen legen Sie fest, welche lokalen Schnittstellen auf dem Server für SMB-over-QUIC Verwendung finden sollen. Hier lassen sich auch alle Schnittstellen und damit alle IP-Adressen auswählen.
In der PowerShell fragen Sie Sie die Einstellungen von SMB-over-QUIC folgendermaßen ab:
Get-SmbServerConfiguration |select EnableSMBQUIC, RestrictNamedPipeAccessViaQuic, DisableSmbEncryptionOnSecureConnection
Anpassungen erfolgen ganz einfach mit dem Set-SmbServerConfiguration-Cmdlet. Hier lassen sich die einzelnen Einstellungen von "True" auf "False" setzen und umgekehrt:
Set-SmbServerConfiguration -EnableSMBQUIC $true
Set-SmbServerConfiguration -RestrictNamedPipeAccessViaQuic $true
Set-SmbServerConfiguration -DisableSmbEncryptionOnSecureConnection $true
Auf den Clients unter Windows 10 (ab 21H2) oder Windows 11 lassen sich Netzlaufwerke mit QUIC anschließen. Das Anbinden von Windows-Server-2022-Clients mit QUIC ist ebenfalls eine Option. Verwenden Sie dazu das "New-SmbMapping"-Cmdlet und den Parameter "-TransportType QUIC". Mit "Windows Server 2022 Datacenter: Azure Edition" ist zudem der Betrieb als QUIC-Server und das Anbinden anderer Server-2022-Editionen als Client möglich. Insgesamt ist QUIC eine wichtige Ergänzung für Dateiserver und ab Windows Server 2025 wird SMB-over-QUIC sicherlich eine noch größere Verbreitung finden.
Fazit
SMB ist ein zentrales Protokoll in den meisten Microsoft-Netzwerken. Häufig kümmern sich Administratoren jedoch nicht um dessen Absicherung. Generell sollte in modernen Netzwerken möglichst SMB 3 zum Einsatz kommen, idealerweise in Verbindung mit Verschlüsselung oder Signierung. Damit ist sichergestellt, dass die Daten im Netzwerk geschützt sind und SMB kein Einfallstor für Angreifer darstellt. Neue Technologien wie SMB-over-QUIC sind gerade in hybriden Netzwerken sinnvoll, da Sie Zugriffe beschleunigen, vereinfachen und sicherer gestalten.
(ln)
Link-Codes
[1] Gruppenrichtlinien-Einstellungen für Windows 11 23H2: https://www.microsoft.com/en-us/download/details.aspx?id=105668
[2] MSQuic auf GitHub: https://github.com/microsoft/msquic