NetBIOS 与 SMB 的双层控制
NetBIOS（137-139）与 SMB（445）是内网蠕虫传播与横向移动的基础设施：445 是永恒之蓝一类漏洞的入口，137-139 的名称解析则帮助攻击者快速摸清内网结构。加固要分两层做：网络层限制来源，只允许受控网段访问；主机层关闭历史协议与不必要的名称解析。
基本信息
| 适用平台 | Windows |
|---|---|
| 相关端口 | 135 RPC 端点映射、137-139 NetBIOS、445 SMB |
| 风险等级 | 高 |
| 基线要求 | 仅受控网段可达，禁用 SMB1 |
| 核查命令 | Get-NetTCPConnection、Get-SmbServerConfiguration |
典型使用场景
- 内网横向移动面盘点
- 排查 445 是否对不可信网段开放
- 关闭历史协议与 NetBIOS 名称解析
- 蠕虫类事件发生时的快速收敛
- 新主机加入域前的基线检查
端口与协议状态
端口与协议状态
Get-NetTCPConnection -State Listen | Where-Object {$_.LocalPort -in 135,137,138,139,445} | Select-Object LocalAddress, LocalPort, OwningProcess # 相关端口监听情况
Get-NetAdapterBinding -ComponentID ms_netbios | Select-Object Name, Enabled # 网卡上的 NetBIOS 绑定
Get-SmbServerConfiguration | Select-Object EnableSMB1Protocol, EnableSMB2Protocol # SMB 协议版本配置收敛动作
收敛动作
# GPO：计算机配置 → 管理模板 → 网络 → 网络连接 → Windows Defender 防火墙
# 按域配置文件收紧入站，只放行受控网段
# 网卡属性：TCP/IPv4 → 高级 → WINS → 禁用 TCP/IP 上的 NetBIOS
# 或通过 GPO 下发禁用 NetBIOS 名称解析的网卡设置复核必查项
| 检查项 | 含义 | 注意点 |
|---|---|---|
| 445 | SMB 文件共享端口 | 最需限制来源，蠕虫的入口 |
| 137-139 | NetBIOS 名称服务与会话 | 无老应用依赖时可关闭 |
| 135 | RPC 端点映射器 | 不能随意关闭，先确认远程管理依赖 |
| 网卡 NetBIOS 绑定 | 网卡是否启用 NetBIOS | 逐块网卡确认 |
| SMB1 开关 | 是否仍允许旧协议 | 服务端与客户端两端都要核查 |
部分老应用（ERP、共享打印）依赖 NetBIOS 名称解析：收敛前先在测试网段验证，不要直接对全内网推开。
禁用 NetBIOS 后 \\计算机名 这类访问可能解析失败，需要用 DNS 或 hosts 兜底；135 端口承载 RPC 端点映射，先确认没有远程管理依赖再限源。
域环境里 445 通常不能一刀切关掉，正确做法是按网段限源：域控与文件服务器只对受控网段开放，终端之间默认阻断，既保业务也压横向移动面。