Отключение SMBv1 в Windows

Важно: перед изменениями сделайте резервную копию критичных данных и точку восстановления системы. Если в вашей сети используются старые устройства (например, устаревшие NAS или принтеры), сначала проверьте совместимость.

Зачем отключать SMBv1

SMBv1 (Server Message Block version 1) — самая старая версия протокола обмена файлами в Windows. Он уязвим и служил в качестве вектора распространения таких вредоносных программ, как WannaCry и Petya. Современные версии Windows и сетевых устройств поддерживают SMBv2/SMBv3, которые намного безопаснее. Microsoft рекомендует отключать SMBv1 там, где это возможно.

Краткое объяснение терминов:

• SMBv1 — устаревшая версия протокола для доступа к файлам по сети.
• PowerShell — командная оболочка Windows для администрирования.
• Реестр Windows — централизованное хранилище конфигурации ОС.

О главных методах

Ниже описаны три метода. Выберите тот, который удобнее: графический (Компоненты Windows), командный (PowerShell) или изменение реестра (Registry). Процедуры применимы к Windows 10, Windows 8 и Windows 7 (если соответствующие компоненты доступны).

Метод 1 — Отключение через Компоненты Windows

1. Откройте «Панель управления» через меню Пуск.
2. Перейдите в «Программы и компоненты».
3. В левом столбце нажмите «Включение или отключение компонентов Windows».

4. В окне Компоненты Windows найдите «SMB 1.0/CIFS File Sharing Support» и снимите галочку.

5. Нажмите «ОК» и подтвердите внесение изменений. Windows предложит перезагрузить систему — выберите «Перезапустить сейчас».

Совет: в больших окружениях используйте групповую политику или автоматизацию для массового управления компонентами.

Метод 2 — Отключение через PowerShell

1. Откройте PowerShell от имени администратора: найдите PowerShell в меню Пуск, правой кнопкой выберите «Запуск от имени администратора».
2. Проверить текущий статус можно командой:

Get-SmbServerConfiguration

3. Если параметр EnableSMB1Protocol установлен в True, выключите SMBv1 командой:

Set-SmbServerConfiguration -EnableSMB1Protocol $false

PowerShell спросит подтверждение — введите Y и нажмите Enter.

4. Повторно выполните Get-SmbServerConfiguration, чтобы убедиться, что EnableSMB1Protocol теперь False.

Get-SmbServerConfiguration

Чтобы снова включить SMBv1 (не рекомендуется), используйте:

Set-SmbServerConfiguration -EnableSMB1Protocol $true

Примечание: эти команды влияют на серверную часть SMB на машине. Для клиента SMB (возможность подключения к SMBv1 ресурсам) существуют отдельные настройки в некоторых версиях Windows.

Метод 3 — Отключение через реестр Windows

1. Откройте редактор реестра: в меню Пуск введите regedit и запустите его от имени администратора.
2. Перейдите к ключу:

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\LanmanServer\Parameters

(Вставьте этот путь в адресную строку редактора реестра и нажмите Enter.)

3. В правой панели создайте новый параметр: Правка → Создать → DWORD (32-бит).
4. Назовите параметр SMB1 и установите значение 0.

5. Перезагрузите систему. Для возврата установите значение SMB1 = 1 или удалите параметр.

Важно: перед изменением реестра экспортируйте соответствующий ключ (Файл → Экспорт) для возможности восстановления.

Проверка и критерии приёмки

• После выполнения метода PowerShell или через реестр команда Get-SmbServerConfiguration должна показывать EnableSMB1Protocol = False.
• На клиентских машинах попытки подключиться к сервисам, которые работают только через SMBv1, должны завершаться неудачей (ожидаемое поведение, если устройство не обновлено).
• В сетевой инфраструктуре не должно быть сервисов, критически зависящих от SMBv1. Если такие есть — сначала план миграции.

Критерии приёмки:

• Отсутствие ответов и сессий SMBv1 на прослушивающих портах (используйте netstat/сканеры безопасности для подтверждения).
• Отсутствие ошибок для приложений, использующих SMBv2/SMBv3.

Чеклист администратора перед отключением

• Сделана резервная копия важной информации и создана точка восстановления системы.
• Проверена совместимость сетевого оборудования и принтеров с SMBv2/SMBv3.
• Уведомлены заинтересованные стороны и запланировано время простоя (если требуется).
• Подготовлен план отката (инструкции по обратному включению SMBv1).

План отката (rollback)

1. Если использовался PowerShell: выполните Set-SmbServerConfiguration -EnableSMB1Protocol $true и перезагрузите машину.
2. Если изменялся реестр: установите SMB1 = 1 или импортируйте ранее экспортированный ключ реестра.
3. Если использовались Компоненты Windows: вернитесь в «Компоненты Windows» и поставьте галочку на «SMB 1.0/CIFS File Sharing Support», затем перезагрузите.

Когда не следует отключать SMBv1 прямо сейчас

• В вашей сети есть устаревшие устройства (старые NAS, многолетние промышленные контроллеры или принтеры), которые не поддерживают SMBv2/SMBv3 и не могут быть обновлены.
• Нет возможности провести тестирование и откат без значительного риска для бизнеса.

В таких случаях сначала составьте план миграции устройств или настройте сегментацию сети, чтобы уязвимые устройства не имели широкого сетевого доступа.

Альтернативные подходы

• Ограничить доступ к SMBv1 только доверенным подсетям через файервол.
• Обновить прошивки/ПО устаревших устройств или заменить их на современные аналоги.
• Внедрить IDS/IPS и мониторинг аномалий для обнаружения попыток эксплойта SMB.

Тестовые случаи и приёмка

• Попытаться подключиться к шару, которая поддерживает только SMBv1 — соединение должно быть заблокировано.
• Проверить доступ к общим папкам, которые поддерживают SMBv2/SMBv3 — доступ должен сохраниться.
• Просканировать порт 445 и убедиться, что на нём не работают SMBv1 сервисы.

Краткий глоссарий

• SMB — протокол обмена файлов по сети.
• SMBv1 — первая версия протокола, уязвимая к известным эксплойтам.
• PowerShell — утилита для администрирования Windows.

Безопасность и соответствие

Отключение SMBv1 снижает риск распространения вредоносного ПО и помогает соответствовать рекомендациям по кибербезопасности. В организациях с требованиями по комплаенсу это часто является обязательной мерой.

Итог

Отключение SMBv1 — небольшое, но важное улучшение безопасности. Используйте PowerShell для автоматизации в больших средах, Компоненты Windows для единичных машин и реестр, если требуется ручная настройка. Перед изменениями обязательно проверяйте совместимость устройств и имейте план отката.

Если у вас остались вопросы или есть опыт отключения SMBv1 в сложных средах — оставьте комментарий с описанием сценария и мы поможем подобрать подход.