SMB3 Sicherheitslücke unter Windows 10 Auswirkungen auf NAS?

HATI · 12. Mrz 2020

Hallo,

mich würde interessieren ob ich wegen der gerade kommunizierten SMB3 Sicherheitslücke (https://winfuture.de/news,114600.html) auch irgendwie an meinem NAS aktiv werden muss?

Ich habe die 4 Rechner in meinem Netzwerk. Alle greifen auf den NAS (218+) zu und können auch gegenseitig miteinander Daten austauschen. Zudem greife ich per Handy und Shield TV auf den NAS zu. Muss ich da nun irgendwelche Ports aktiv in der Firewall des NAS oder der Fritzbox blockieren oder so? Externen Zugriff auf den NAS habe ich nur per WebDAV und dann nur über den VPN der DS.

Danke
HATI

Anzeige · 12. Mrz 2020

Hallo HATI,

Bücher und Hardware zum Thema gibt es bei Amazon: SMB3 Sicherheitslücke unter Windows 10 Auswirkungen auf NAS?

NSFH · 12. Mrz 2020

Wenn dein Port 445 nicht aus dem Internet erreichbar ist musst du dir nicht wirklich Sorgen machen. Erst wenn dein LAN kompromittiert wäre und jemand von Aussen darauf Zugriff hätte, aber dann hast du noch ganz andere Probleme.

HATI · 12. Mrz 2020

Danke für deine Antwort.

Also wenn ich 445 nicht aktiv in meiner Fritzbox freigegeben habe sollte alles passen?

Und was die LAN Kompromittierung angeht könnte diese doch auch per Anhang in einer Mail oder so erfolgen oder? Und wenn dann meine Rechner und diesem mit dem NAS per SMB kommunizieren es ggf. Probleme geben?

Synchrotron · 12. Mrz 2020

Wenn sich jemand über eine E-Mail oder anderes "social engineering" auf einem deiner Rechner einnisten kann, dann übernimmt er in dem Moment die Rechte des Anwenders, der die Kompromittierung zulässt. Also heißt die erste Regel, dass User nicht mit Admin-Rechten unterwegs sein dürfen - und Admins nur dann Admin-Accounts verwenden, wenn sie es müssen.

Wer auf diese Weise in ein Netzwerk herein kommt, der braucht keine SMB-Lücke mehr. Daher zweite Regel: Nach außen nur auf machen, was unbedingt (!) für bestimmte Dienste benötigt wird. Und auf keinen Fall zulassen, dass Anwendungen von sich aus Ports öffnen dürfen (z.B. auf dem Router kein UPnP zulassen).

Persönlich nutze ich VPN-Zugänge, um von außen ins Heimnetz zu kommen. Die sind bzgl. Portweiterleitungen am sparsamsten, und haben (unter der Randbedingung scharf eingestellte Firewall) die wirksamsten Mechanismen, um unbefugtes Eindringen zu unterbinden.