| 服务 | microsoft-ds（SMB over TCP） |
|---|---|
| 协议 | TCP/UDP |
| 用途 | 文件/打印共享、AD 复制、SYSVOL、远程管理 |
| 安全等级 | 严禁暴露公网（高危） |
445 是 SMB 的直连承载（不再依赖 NetBIOS 139）。域内管理流量几乎都走它，一旦放任跨网段访问，横向移动极难阻断。
典型风险与处置
| 风险 | 说明 | 处置 |
|---|---|---|
| MS17-010（EternalBlue） | SMBv1 远程代码执行，WannaCry 蔓延入口 | 禁用 SMBv1、全量补丁、隔离 445 |
| NTLM 中继 | 未强制签名的 SMB 可被转发凭据 | 启用 SMB 签名与 EPA 扩展保护 |
禁用 SMBv1 并检查签名（PowerShell）
禁用 SMBv1 并检查签名（PowerShell）
Set-SmbServerConfiguration -EnableSMB1Protocol $false -Force
Get-SmbServerConfiguration | Select-Object EnableSMB1Protocol, RequireSecuritySignature公网扫描中 445 常年居前；边界防火墙应显式丢弃 445，内网按业务最小化放行并开启审计。