Unterschiede

Hier werden die Unterschiede zwischen zwei Versionen angezeigt.

Link zu dieser Vergleichsansicht

Nächste Überarbeitung		Vorhergehende Überarbeitung
it-security:smb-hardening [2023/11/13 14:50] – angelegt psycoreit-security:smb-hardening [2024/01/12 22:16] (aktuell) – Externe Bearbeitung 127.0.0.1
Zeile 1: Zeile 1:
 +{{tag>deutsch startpage it-security windows active-directory}}
 ====== SMB Hardening ====== ====== SMB Hardening ======
  
 ===== Technischer Hintergrund zum SMB Protokoll ===== ===== Technischer Hintergrund zum SMB Protokoll =====
  
-[[wpde>Server Message Block]] ist anfällig für NTLM-Relay-Attacken, wenn Pakete nicht signiert werden. Diese [[it-security:glossary:m:man-in-the-middle|Man-In-The-Middle-Attacke]] kapert Authentifizierungen zwischen Clients und Servern. Mit der Authentifizierung kann man auf dem Server eine Session starten und Daten entwenden.+[[wpde>Server Message Block]] ist anfällig für NTLM-Relay-Attacken, wenn Pakete nicht signiert werden. Diese [[wpde>Man-in-the-Middle-Angriff|Man-In-The-Middle-Attacke]] kapert Authentifizierungen zwischen Clients und Servern. Mit der Authentifizierung kann man auf dem Server eine Session starten und Daten entwenden.
 Die SMB-Signierung ordnet jeder initiierte Session explizit dem Client zu. Somit bleibt die Kaperung der Authentifizierung zwar immer noch möglich, wird jedoch verworfen, da die Session nicht signiert ist. Die SMB-Signierung ordnet jeder initiierte Session explizit dem Client zu. Somit bleibt die Kaperung der Authentifizierung zwar immer noch möglich, wird jedoch verworfen, da die Session nicht signiert ist.
  
Zeile 19: Zeile 20:
 ===== Ablauf ===== ===== Ablauf =====
  
-  * Schritt 1 – SMBv1 deaktivieren +<mermaid> 
-  * Schritt 2 – SMB-Signierung clientseitig optional aktivieren +  flowchart 
-  * Schritt 3 – SMB-Signierung serverseitig forcen+      Z[Ablauf] 
 +      A[SMBv1 deaktivieren] 
 +      B[SMB-Signierung] 
 +      C(Client) 
 +      D(Server) 
 +      E(optionale Aktivierung) 
 +      F(erzwungene Aktivierung) 
 +      Z--Schritt 1-->A 
 +      Z-->B 
 +      B-->C 
 +      B-->D 
 +      C--Schritt 2-->E 
 +      D--Schritt 3-->F 
 +</mermaid>
  
 ==== Schritt 1 – SMBv1 deaktivieren ==== ==== Schritt 1 – SMBv1 deaktivieren ====