Kuidas keelata Windowsi pärandteenused: faks, XPS ja SMB1

Paljud Windowsi süsteemid kannavad endiselt üle vananenud funktsioone, mida peaaegu keegi ei kasuta , kuid mis tarbivad jätkuvalt ressursse ja võivad isegi tekitada turvaauke. Me räägime sellistest teenustest nagu faks, XPS ja aegunud SMB1 protokoll , aga ka mitmetest valikulistest funktsioonidest, mida Microsoft ühilduvuse tagamiseks säilitab, kuid mis on tänapäevases kodu- või kontoriarvutis täiesti ebavajalikud.

Konfiguratsiooni väikese kohandamisega on võimalik need pärandteenused keelata , vähendada rünnakupinda lunavara tüüpi ohtude vastu ja süsteemi mõnevõrra kergendada. Enne millegi puudutamist on aga oluline mõista iga komponendi eesmärki, selle sõltuvusi ja seda, kuidas seda õigesti hallata , olgu see siis graafilise liidese, PowerShelli, registri või isegi ettevõttekeskkonnas rühmapoliitika kaudu.

Mis on SMB (SMB1, SMB2 ja SMB3) ja miks see nii oluline on?

Server Message Block (SMB) protokoll on failide, printerite ja muude ressursside jagamise alus Windowsi võrkudes. See võimaldab arvutil toimida failiserverina, võimaldades teistel arvutitel andmetele juurde pääseda nii, nagu oleksid need kohalikud, ning haldab ka kaugtoiminguid, näiteks failide lugemist, kirjutamist ja lukustamist.

Aastate jooksul on Windows lisanud protokolli järjestikused versioonid : SMB1, SMB2 ja SMB3. Iga uuendus on toonud kaasa parandusi jõudluses, turvalisuses ja skaleeritavuses, nii et tänapäeval on soovitatav versioon SMB3 , samas kui SMB1 peetakse täiesti vananenuks ja ohtlikuks.

SMB1-e kasutati ainult sellistes süsteemides nagu Windows XP ja Windows Server 2003 , mida enam ei toetata ega parandata. Paljud vanemad seadmed (vanad NAS-seadmed, võrguprinterid, halvasti konfigureeritud Linuxi süsteemid ) toetuvad ühilduvuse tagamiseks endiselt sellele versioonile, mis mõnikord nõuab selle aktiivsena hoidmist tänapäevastel serveritel või klientidel.

Probleem on selles, et SMB1-l on kriitilisi haavatavusi , mida on ära kasutanud tuntud pahavara , näiteks WannaCrypt/WannaCry lunavara . See pahavaraperekond kasutas ära SMBv1 implementatsiooni viga, et levida võrgus ühest arvutist teise ilma kasutaja sekkumiseta.

Sel põhjusel on Microsoft eemaldanud SMB1 tänapäevastest installidest: Windows 11 ja Windows Server 2019 ning uuemad versioonid ei sisalda seda vaikimisi ning Windows 10-s säilitatakse see ainult mõnes Home ja Pro väljaandes, kui teatud rakendused seda vajavad. Sellegipoolest jääb see paljudes keskkondades installituks või isegi aktiivseks ning on tungivalt soovitatav see võimaluse korral eemaldada või keelata .

Mida me kaotame (ja mida me võidame), kui keelame SMB1, SMB2 või SMB3?

Üldine soovitus on selge: keelake SMB1 kõigis seadmetes , mis seda rangelt ei vaja, ning jätke SMB2 ja SMB3 moodsad versioonid aktiivseks. Sellegipoolest võib mõnikord olla kasulik SMB2/3 ajutiselt keelata, et diagnoosida ühilduvuse, jõudluse või ebatavalise võrgukäitumise probleemi.

SMBv3 keelamine toob kaasa mitmete oluliste täiustatud funktsioonide kadumise kõrge käideldavusega keskkondades , kuna paljud neist on omased Windows Serveri ja failiklastrite tänapäevastele versioonidele. Näiteks on järgmised keelatud:

• Läbipaistev tõrkesiire: võimaldab klientidel klastri teise sõlmega uuesti ühenduse luua ilma, et kasutaja riket märkaks.
• Horisontaalne skaleeritavus: samaaegne juurdepääs samadele jagatud andmetele klastri mitmest sõlmest.
• Mitmekanaliline VKE: mitme võrgutee samaaegne kasutamine ribalaiuse koondamiseks ja rikketaluvuse suurendamiseks.
• VKEde otsemüük (RDMA): tugi väga kiiretele RDMA-võrkudele, millel on madal latentsusaeg ja madal protsessori kasutus.
• Otsast lõpuni krüptimine: kaitse pealtkuulamise ja usaldamatute võrkude vastu suunatud rünnakute eest.
• Kataloogide rentimine ja muud optimeerimised parendamiseks latentsus ja jõudlus kaugetes harukontorites.

Kui keelame SMB2 SMB3 asemel , on mõju samuti märkimisväärne. SMB2 tõi SMB1-ga võrreldes kaasa olulisi täiustusi:

• Petitsioonide rühmitamine (pakkimine) mitme päringu saatmiseks ühes võrgupaketis.
• Suuremad lugemised ja kirjutised mis kasutavad ära gigabiti ja kiiremaid ühendusi.
• ladustamine vahemällu salvestatud omadused failide ja kaustade piiramiseks serverile juurdepääsu piiramiseks.
• Püsivad identifikaatorid mis võimaldavad lühikeste katkestuste järel seansside katkestamata taasühendumist.
• Tugevdatud sõnumiallkiri HMAC SHA-256-ga MD5 asemel.
• Suurem skaleeritavus kasutajate, jagatud ressursside ja serveri kohta avatud failide arvu järgi.
• Toetus sümboolsed lingid ja kontsessioonimudel, mis parandab jõudlust suure latentsusega võrkudes.
• Suur MTU et 10 GbE linke täiel määral ära kasutada.
• optimeerimised energiatõhusust avatud failidega klientide peatamiseks.

Teisisõnu, SMB2 või SMB3 keelamine on mõttekas ainult ajutise diagnostilise meetmena . Jäädavalt tuleks eemaldada SMB1 , kontrollides alati eelnevalt, kas on vanemaid seadmeid, mis võivad juurdepääsu kaotada.

Kuidas PowerShellis SMB1-d kontrollida, lubada või keelata

Kaasaegsetes süsteemides, nagu Windows 10, Windows 11 või Windows Server 2016/2019 , on SMB1 haldamiseks kõige puhtam viis PowerShelli kasutamine administraatoriõigustega, tuginedes valikulistele süsteemifunktsioonidele.

SMB1 kliendi/serveri praeguse oleku vaatamiseks Windowsis saate kasutada cmdlet-käsku Get-WindowsOptionalFeature , osutades konkreetsele funktsioonile:

Get-WindowsOptionalFeature -Online -FeatureName SMB1Protocol

Kui eesmärk on SMB1 keelamine (soovitatav juhtum), käivitage lihtsalt:

Disable-WindowsOptionalFeature -Online -FeatureName SMB1Protocol

Ja kui ühilduvuse tõttu pole muud võimalust kui see uuesti aktiveerida , saab seda teha järgmiselt:

Enable-WindowsOptionalFeature -Online -FeatureName SMB1Protocol

Serveriversioonides, näiteks Windows Server 2012 R2 ja 2016 , on SMB1 rollifunktsioonina pakendatud. Sellistel juhtudel saab selle otse PowerShellist eemaldada järgmiselt:

Remove-WindowsFeature FS-SMB1

Oluline on meeles pidada, et paljud valikuliste funktsioonide ja rollide muudatused nõuavad täielikuks jõustumiseks süsteemi taaskäivitamist , seega on soovitatav hooldusperioodi ette planeerida, eriti tootmisserverites.

SMB1, SMB2 ja SMB3 haldamine registrist (server ja klient)

Windowsi vanemates versioonides või kui on vaja väga täpset kontrolli, on SMB registrist lubada või keelata . See meetod kehtib nii Windows Serveri (SMB serveri roll) kui ka klientidena tegutsevate tööjaamade kohta.

SMB-serveri puhul on peamine konfiguratsioonivõti järgmine:

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\LanmanServer\Parameetrid

Sellel teel saab luua järgmised väärtused (kui neid veel pole) :

• SMB1 (REG_DWORD):
  Väärtus 0 = protokoll keelatud
  Väärtus 1 = protokoll lubatud (vaikimisi)
• SMB2 (REG_DWORD):
  Väärtus 0 = keelab SMB2 ja SMB3, kuna need jagavad sisemist pinu
  Väärtus 1 = lubab SMB2/3 (vaikimisi)

Neid väärtusi saab PowerShellist manipuleerida cmdlettide abil, näiteks: Set-ItemProperty

Set-ItemProperty -Path "HKLM:\SYSTEM\CurrentControlSet\Services\LanmanServer\Parameters" SMB1 -Type DWORD -Value 0 -Force

Set-ItemProperty -Path "HKLM:\SYSTEM\CurrentControlSet\Services\LanmanServer\Parameters" SMB2 -Type DWORD -Value 0 -Force

Windowsi SMB-kliendi puhul asjad muutuvad, kuna see sõltub peamiselt LanmanWorkstationi teenusest ning draiveritest mrxsmb10 (SMB1) ja mrxsmb20 (SMB2/3). Käsureatööriista sc.exe kasutatakse siin tavaliselt sõltuvuste ja käivitusrežiimi kohandamiseks.

SMB1 haldamiseks kliendis saab kasutada järgmisi käske :

sc.exe qc lanmanworkstation

See kontrollib teenuse praegust konfiguratsiooni . SMB1 kliendi osa keelamiseks värskendatakse sõltuvust ja inaktiveeritakse vastav draiver.

sc.exe config lanmanworkstation depend= bowser/mrxsmb20/nsi
sc.exe config mrxsmb10 start= disabled

Kui hiljem osutub vajalikuks SMB1 klient uuesti aktiveerida , piisab sõltuvuse taastamisest ja kontrolleri automaatsest käivitamisest:

sc.exe config lanmanworkstation depend= bowser/mrxsmb10/mrxsmb20/nsi
sc.exe config mrxsmb10 start= auto

Sarnane muster kehtib ka siis, kui eesmärk on hoida SMB1 töökorras, kuid keelata SMB2/3 kliendil, muutes sel juhul mrxsmb20 käitumist.

Keela SMB1 rühmapoliitika (GPO) abil

Paljude arvutitega ettevõttevõrkudes on masinhaaval töötamine ebapraktiline. Kõige tõhusam lähenemisviis on kasutada rühmapoliitikat (GPO), et juurutada registrimuudatusi, mis keelavad SMB1 liikmestööjaamades ja -serverites tsentraalselt.

Nipp seisneb kahe peamise klahvi mängimises :

• HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\services\mrxsmb10
  Väärtus: Avaleht (REG_DWORD) = 4 → teenus on keelatud.
• HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\LanmanWorkstation
  Väärtus: DependOnService (REG_MULTI_SZ) = Bowser, MRxSmb20, NSI (ilma MRxSMB10-ta).

Poliitikahalduskonsoolis luuakse uus registriüksus jaotises Arvuti konfiguratsioon > Eelistused > Windowsi sätted > Registri haru. Esimene on konfigureeritud kui Toiming = Värskendamine, osutades mrxsmb10 algväärtusele ja määrates andmete väärtuseks 4. Teine luuakse kui Toiming = Asenda, määratledes mitme-SZ DependOnService'i stringidega Bowser, MRxSmb20 ja NSI.

Grupipoliitika objekti rakendamine ja sihtarvutite taaskäivitamine takistab kliendil MRxSMB10 laadimist või sellele tuginemist , mis sisuliselt keelab SMB1. Värskendamise sundimiseks testimise ajal saab klientides käivitada järgmise käsu:

gpupdate /force

Seejärel on soovitatav kontrollida, kas SMB2 ja SMB3 toimivad ülejäänud süsteemides korrektselt ning et ühendus kriitiliste jagatud ressurssidega pole katkenud.

Auditeeri, millised meeskonnad ikka veel SMB1-d kasutavad

Enne drastiliste meetmete võtmist on väga kasulik auditeerida, kes üritab SMB1 kaudu ühendust luua . See aitab vältida probleeme vanade printerite, aegunud NAS-seadmete, valesti konfigureeritud Linuxi süsteemide või isegi nurka unustatud Windowsi masinatega.

Windows Serveri tänapäevastes versioonides on võimalik lubada spetsiifiline auditeerimine cmdlettide Set-SmbServerConfiguration ja Get-SmbServerConfiguration abil . SMB1 juurdepääsude logimise alustamiseks käivitage:

Set-SmbServerConfiguration -AuditSmb1Access $true

Kui soovite auditeerimise igal ajal keelata , muutke lihtsalt väärtus väärtuseks „väär”:

Set-SmbServerConfiguration -AuditSmb1Access $false

Selle konfiguratsiooni praeguse oleku kontrollimiseks võite vaadata järgmist:

Get-SmbServerConfiguration | Select AuditSmb1Access

Kui auditeerimine on lubatud, genereerib iga SMB1-d kasutav ühenduse katse Microsoft-Windows-SMBServer\Audit logis sündmuse ID-ga 3000. Nende sündmuste ülevaatamine annab üsna usaldusväärse loendi klientidest, kes endiselt SMB1-st sõltuvad , mis võimaldab teil enne protokolli jäädavat keelamist planeerida nende migreerimist või asendamist.

SMB 1.0 lubamine või keelamine graafilise liidese kaudu

Mõnes Windowsi versioonis on võimalik SMB 1.0 konfigureerida otse graafilisest kasutajaliidesest ilma PowerShelli või registrit puudutamata. See kehtib peamiselt järgmiste kohta:

• Windows 8.1 ja Windows 10 (kliendiversioonid).
• Windows Server 2012 R2 ja Windows Server 2016.

Klientarvutites on tüüpiline tee minna Juhtpaneel > Programmid ja funktsioonid (või käivitada appwiz.cpl ) ning seejärel valida „Windowsi funktsioonide sisse- või väljalülitamine“. Loendist leiate kirje „SMB 1.0/CIFS failide jagamise tugi “, mille saab SMB1 keelamiseks tühjendada.

Serveriversioonides, näiteks Windows Server 2012 R2 või 2016, kasutatakse serverihaldurit . Avage suvandi „Rollide ja funktsioonide eemaldamine” alt jaotis „ Funktsioonid ” ja eemaldage linnuke valiku „SMB 1.0/CIFS failide jagamise protokolli tugi” juurest. Kui viisard on rakendatud, on desinstalli lõpuleviimiseks vaja server taaskäivitada.

Deaktiveerige muud pärandteenused: faks, XPS ja muud

Lisaks SMB1-le on Windowsil valikulised funktsioonid , mida enamik kasutajaid praktikas ei vaja. Kuigi te ei näe alati tohutuid jõudluse parandusi, on võimalik vähendada keerukust, mälukasutust ja ennekõike rünnakupinda, kui teil on vähem avatud komponente.

Mõned kõige levinumad funktsioonid, mida saab vaadata jaotises „Windowsi funktsioonide sisse- või väljalülitamine”, on järgmised:

• XPS-teenused ja XPS-vaaturXPS-vormingut pakuti välja alternatiivina pDFAga see ei leidnud kunagi päriselt populaarsust. Windows 10 ja 11 juba integreerivad PDF-ide printimise ja lugemise, seega pole XPS-i hooldamine tavaliselt vajalik.
• Windowsi faksimine ja skannimine: kasulik ainult siis, kui füüsiline faksiaparaat või integreeritud skanner Hallatakse Windowsi tööriistade kaudu. Kui kasutate tootja enda skannerit või ei kasuta faksi, saate selle ohutult keelata.
• Windows Media Playeri ja pleieri võrgu jagaminePopulaarne WMPNetworkSvc teenus võimaldab teil meediateeke võrgus jagada. Kui kasutate alternatiivseid mängijaid või kui meediat ei jagata, töötab süsteem õigesti. streaming sisemine, on veel üks selge kandidaat puude määramiseks.
• Pärandkomponendid (DirectPlay): vajalik ainult selleks, et väga vanad mängud mis sõltuvad sellest DirectX võrgu API-st. Kui te ei mängi klassikalisi mänge võrgus, saate selle tavaliselt keelata.

Samuti on soovitatav üle vaadata teenused, mis laadivad taustal ja millest koduarvutis on vähe kasu. Tüüpilised näited Windows 7/10-s on faks , Bluetoothi ​​tugiteenus (kui te Bluetoothi ​​ei kasuta), võrgu sisselogimine domeenivälistes arvutites ja SNMP , mis on mõeldud ettevõtte võrkude jälgimiseks.

Muud Windowsi teenused, mida saab tavaliselt keelata

Juhtudel, kus eesmärk on jõudluse maksimeerimine (näiteks mänguarvuti puhul), on tavaline vaadata üle Windowsi teenuste loend ja keelata kõik, mida kunagi ei kasutata . Siiski on soovitatav seda teha ettevaatlikult, ideaaljuhul pärast süsteemi taastepunkti loomist , et saaksite valesti minnes eelmise oleku taastada.

Koduses keskkonnas sageli hädavajalikuks peetavate teenuste hulka (eeldusel, et nende spetsiifilisi funktsioone ei vajata) kuuluvad:

• Windowsi otsing (WSearch)See haldab failide, meilide ja muu sisu indeksit otsingute kiirendamiseks. Kui kasutate sisseehitatud otsingumootorit harva, võiksite kaaluda selle keelamist.
• Windows Media Playeri võrgu jagamise teenus (WMPNetworkSvc): vastutab multimeediakogude jagamise eest kohalikus võrgus.
• SNMP-hõive (SNMPTRAP) y Lihtne võrguhaldusprotokoll (SNMP): suunatud täiustatud võrgu jälgimisele. Enamikus kodudes ebavajalik.
• Kiipkaartidega seotud teenused (SCPolicySvc, SCardSvr, sertifikaatide levitamine): pakuvad tuge keskkondadele, mis kasutavad kiipkaardi autentimist.
• Kaugregister (RemoteRegistry): võimaldab registrit teistest arvutitest muuta, mis on kontrollimatutes keskkondades riskantne.
• Võrguühenduseta failid (CscService): kasulik ainult siis, kui kasutate funktsiooni võrguühenduseta failid ettevõtete võrkudes.
• Võrguühenduse kaitse agent (napagent): Microsofti NAP-infrastruktuuri vana osa.
• Võrgu sisselogimine (Netlogon): domeeniga ühendatud süsteemides hädavajalik, kuid koduarvutites täiesti ebavajalik.
• iSCSI initsiaatori teenus (MSiSCSI): ainult siis, kui loote ühenduse kaug-iSCSI-seadmetega.
• Hajutatud linkide jälgimise klient (TrkWks): säilitab linke NTFS seadmete ja mahtude vahel.
• BranchCache (PeerDistSvc): loodud ettevõtte filiaalide WAN-liikluse optimeerimiseks.
• Bluetoothi ​​ühilduvusteenus (bthserv): vajalik ainult Bluetooth-seadmete kasutamisel.
• Adaptiivne heledus (SensrSvc): reguleerib heledust automaatselt ümbritseva valguse andurite põhjal.
• WinHTTP automaatne puhverserver (WinHttpAutoProxySvc): tuvastab automaatsed puhverserverid; lihtsates võrkudes on see tavaliselt ebavajalik.
• Windowsi kaughaldus (WinRM): kasutatakse kaughalduseks PowerShelli ja muude tööriistade kaudu.
• Windowsi tõrketeavitusteenus (WerSvc): saadab Microsoftile krahhiaruandeid.
• Windowsi värvisüsteem (WcsPlugInService): keskendub täiustatud värviprofiilide haldamisele.
• Rakendustaseme lüüsi (ALG) teenus: seotud internetiühenduse jagamisega (ICS).
• BitLockeri draivikrüptimisteenus (BDESVC) y Krüptimisfailisüsteem (EFS): ülearune, kui neid krüpteerimismeetodeid ei kasutata.
• Juurdepääs inimese liideseseadmele (hidserv): pakub spetsiaalsetele klaviatuuridele ja kontrolleritele lisafunktsioone.
• Kaugtöölaua teenused (TermService, UmRdpService, SessionEnv) ja Kaugtöölaua konfiguratsioon: vajalik ainult siis, kui loote ühenduse kaugtöölaua kaudu või hostite teisi masinaid.
• Tahvelarvuti sisendteenus (TabletInputService): pliiatsitugi ja puutetundlik kirjutamine.
• Windowsi biomeetriline teenus (WbioSrvc): sõrmejäljelugejate, näotuvastuse jms jaoks.

Nimekiri on pikk ja kõik teenused ei ole igas Windowsi versioonis saadaval. Oluline on mõista, et kõik muudatused tuleks teha teadmisega, milliseid teenuseid ei tohiks keelata , eriti tööks kasutatavates arvutites või arvutites, mis on osa suuremast võrgust.

Täiustatud valikulised funktsioonid: millal need lubada

Windowsi valikuliste funktsioonide paneelil on ka professionaalsetele või arenduskeskkondadele mõeldud komponendid , mida enamik kodukasutajaid kunagi ei puutu. Nende keelamine ei anna alati märkimisväärset kasu, kuid see aitab süsteemi üleliigsetest elementidest "puhastada".

Mõned tüüpilised näited on:

• .NET Framework 3.5 (sisaldab versioone 2.0 ja 3.0) y .NET Framework 4.x täiustatud teenusedNeed on vajalikud, kui käitate rakendusi, mis sõltuvad nendest versioonidest. Kui need keelate ja hiljem installite programmi, mis nõuab .NET-i, pakub Windows tavaliselt selle installimist nõudmisel.
• Active Directory kerged kataloogiteenused y Windowsi identiteedi fond: autentimisele ja kataloogidele keskenduvad tehnoloogiad, eriti ärikeskkonnas.
• Internet Information Services (IIS) ja hostitaval veebituumal: need on mõttekad ainult siis, kui kavatsete veebi- või FTP-serveri seadistamine kohalik arendamiseks või testimiseks.
• Hyper-VMicrosofti virtualiseerimislahendus. See on väga võimas, kuid mitte hädavajalik, kui te juba kasutate alternatiive, näiteks VirtualBox o VMware konkreetsete testide jaoks.
• Telneti klient, TFTP klient, Ühendusehalduri halduskomplekt o Microsofti sõnumijärjekord: päritud teistest ajastutest või mõeldud väga spetsiifilisteks kaughalduse ja -arenduse kasutusaladeks.
• Trüki- ja dokumenditeenused Lisafunktsioonid (LPR, LPD, skannimishaldus, internetipõhine printimisklient): need pole tavaliselt vajalikud arvutites, mis prindivad ainult ühele printerile USB või tavalist kodu WiFi-ühendust.
• Lihtsad TCPIP-teenused, Kuula RIP-i ja sarnased utiliidid: need kuuluvad keerukate võrgustsenaariumide juurde ja on enamikus installides tavaliselt keelatud.

Oluline on nimekiri hoolikalt üle vaadata, kaaludes alati, kas iga eset on tõesti vaja. Kahtluse korral on kõige parem jätta see lubatuks või teha enne muudatuste tegemist täiendavat uurimistööd, eriti tootmisseadmete või igapäevaste töövahendite puhul.

SMB1 mahajätmine, pärandteenuste (nt faksi või XPS) keelamine ja valikuliste funktsioonide kohandamine vastavalt teie tegelikele vajadustele on lihtne viis turvalisema ja kergema Windowsi saamiseks, mis sobib paremini teie vajadustega , vältides lunavaraohte ja vähendades funktsioone, mis on olemas vaid "igaks juhuks", kuid enamikus tänapäevastes arvutites enam mingit kasulikku eelist ei paku.