Windows 11, günümüzün Windows 11 Insider Önizleme Build 25982'den Canary Channel'daki Insiders'a yayılmasından başlayarak, yöneticilerin SMB istemci istihdamını zorunlu hale getirmesine izin verecektir.
SMB şifrelemesi, veri uçtan uca şifreleme sağlar ve tüm dosya sunucusu için veya Windows Admin Center, Windows PowerShell veya UNC sertleştirme kullanarak sürücüleri eşleştirirken etkinleştirilebilir.
Bu özellik ilk olarak Windows 8 ve Windows Server 2012'de SMB 3.0 ile dahil edildi ve Windows 11 ve Windows Server 2022 ile AES-256-GCM şifreleme süitleri için destek getirdi.
Tüm hedef sunucuların SMB 3.x ve şifrelemeyi desteklemesini isteyerek, Windows yöneticileri, müşterilerin yalnızca bu koşullar dinleme ve müdahale saldırılarına karşı savunmak için karşılandığında bir bağlantı kurabilmesini sağlayabilir.
Microsoft Ana Program Yöneticisi Ned Pyle, "Artık SMB istemcisini, sunucu, paylaşma, UNC sertleştirme veya eşlenmiş bir sürücünün gerektirdiği önemli değil, her zaman şifreleme gerektirecek şekilde yapılandırabilirsiniz." Dedi.
"Bu, bir yöneticinin bir Windows makinesini küresel olarak SMB şifrelemesini - ve dolayısıyla SMB 3.x - tüm bağlantılarda kullanmaya zorlayabileceği ve SMB sunucusu da desteklemiyorsa bağlanmayı reddedebileceği anlamına gelir."
Yeni seçenek PowerShell veya 'Şifreleme Gereken' Grup İlkesi kullanılarak yapılandırılabilir \ Yönetici Şablonları \ Network \ Lanman iş istasyonu.
Windows 11 Insider Önizleme Build 25951 ile başlayarak, yöneticiler Windows sistemlerini, Hash-Pass-Pass, NTLM Rölesi veya şifre kırma saldırılarını savuşturmak için uzaktan giden bağlantılarda SMB üzerinden NTLM verilerini otomatik olarak engelleyebilir.
Değiştiğinde, kullanıcının karma şifresinin uzak sunuculara gönderilmesini ve bu saldırıları etkili bir şekilde engellemesini önler.
Canary Channel'a Windows 11 Insider Önizleme Build 25381'in piyasaya sürülmesiyle Microsoft, tüm bağlantıların NTLM röle saldırılarına karşı savunması için varsayılan olarak SMB imzalamasını (diğer adıyla güvenlik imzaları) gerektirmeye başladı.
Windows 98 ve 2000'de tanıtılan SMB imzalama, veri şifreleme hızlarını önemli ölçüde artırarak koruma ve performansı artırmak için Windows 11 ve Windows Server 2022'de güncellendi.
"SMB şifrelemesinin performans ek yükü ve uyumluluk ek yükü vardır ve bunu daha iyi performansa ve kurcalama korumasına sahip ancak gözetleme korumasına sahip olan SMB imzasına karşı veya en iyi performansa sahip ancak güvenliğe sahip olmayan şifreleme veya imza kullanmaya karşı dengelemelisiniz. "Dedi.
"KOBİ şifreleme SMB imzalamasının yerini alır ve aynı kurcalama koruması seviyesini sağlar, yani SMC istemciniz imzalama gerektirirse, SMB şifrelemesi kapatır; her ikisini de şifreleme kazandığı için gerektiren bir anlam yoktur."
Bu iyileştirmeler, geçen yılın önceki duyurularının altını çizdiği gibi, Windows ve Windows Server'ın güvenliğini desteklemek için daha geniş bir çabanın bir parçasıdır.
Nisan 2022'de Microsoft, onlarca yıllık SMB1 dosya paylaşım protokolünü Windows 11 Home Inserers için devre dışı bırakmanın son aşamasını ortaya çıkararak bir kilometre taşını işaretledi.
Bu ilerlemeye dayanarak, şirket ayrıca, başarısız NTLM kimlik doğrulama girişimlerinin etkisini azaltan bir KOBİ kimlik doğrulama oranı sınırlayıcısı getirerek kaba kuvvet saldırılarına karşı savunmaları güçlendirdi.
Microsoft Testleri Windows 11 Şifreli DNS Server Otomatik Keşif
Microsoft, Cortana'yı Windows 11 Insiders için resmen kaldırır
Microsoft Paint sonunda katmanlar ve şeffaflık için destek alıyor
Windows 11 Snipping Aracı, resimlerden metin kopyalamak için OCR desteği alır
Yeni Windows 11 Özellik Blokları SMB üzerinden NTLM tabanlı saldırılar
Kaynak: Bleeping Computer