SMB (Server Message Block), Windows ağlarında dosya ve yazıcı paylaşımının temel protokollerinden biridir. File Server yönetiminde benim için yalnız “paylaşım açılıyor mu?” konusu değildir; kullanılan SMB sürümü, TCP 445 erişimi, signing/encryption ayarları ve kimlik doğrulama birlikte değerlendirilmelidir.
SMB Protokolü Nedir?
SMB, istemci ile sunucu arasında dosya, klasör, yazıcı ve benzeri kaynaklara ağ üzerinden erişim sağlar. Modern Windows ortamlarında SMB trafiği ağırlıklı olarak TCP 445 üzerinden çalışır.
SMBv1, SMBv2 ve SMBv3 Arasındaki Farklar
| Sürüm | Genel durum | Öne çıkan nokta |
|---|---|---|
| SMBv1 | Legacy | Eski ve modern ortamlarda kullanılmaması gereken sürüm. |
| SMBv2 | Modernleşmiş | Daha verimli protokol yapısı ve daha düşük overhead. |
| SMBv3 | Modern | Encryption ve gelişmiş güvenlik/performans yetenekleri. |
SMB Hangi Portu Kullanır?
Modern Windows dosya paylaşımında ilk kontrol ettiğim bağlantı noktası TCP 445‘tir. Bir SMB paylaşımına erişilemiyorsa DNS çözümlemesinden sonra port erişimini şu şekilde test edebilirsiniz:
Test-NetConnection FILESERVER -Port 445Port kapalıysa doğrudan NTFS permission incelemeye geçmek yerine önce ağ/firewall katmanını çözmek gerekir.
SMB Yapılandırmasını PowerShell ile Kontrol Etme
Get-SmbServerConfigurationİstemci tarafındaki SMB yapılandırması için:
Get-SmbClientConfigurationAktif SMB bağlantılarını görmek için:
Get-SmbConnectionSMBv1 Neden Kullanılmamalı?
SMBv1 eski bir protokoldür ve modern Windows altyapılarında gereksiz saldırı yüzeyi oluşturur. Legacy bir cihaz veya uygulama SMBv1 gerektiriyorsa benim yaklaşımım protokolü tüm altyapıda yeniden açmak değil; bağımlılığın kaynağını tespit edip kaldırma/migrasyon planı oluşturmaktır.
Windows’ta SMB1 optional feature durumunu kontrol etmek için:
Get-WindowsOptionalFeature -Online -FeatureName SMB1ProtocolSMB Güvenliğinde Kontrol Ettiğim Noktalar
- SMBv1 bağımlılığı var mı?
- TCP 445 yalnız gerekli ağ segmentleri arasında erişilebilir mi?
- SMB signing gereksinimleri istemci ve sunucu tarafında doğru mu?
- Hassas paylaşımlarda SMB encryption ihtiyacı var mı?
- Guest/anonymous erişim gereksiz yere açık mı?
- Share permission ve NTFS permission birlikte doğru tasarlanmış mı?
SMB Encryption
SMB encryption ihtiyacı paylaşımın veri sınıflandırmasına ve ağ tasarımına göre değerlendirilmelidir. Sunucu yapılandırmasını körlemesine değiştirmek yerine önce mevcut durumu sorgularım:
Get-SmbServerConfiguration | Select-Object EncryptData,RequireSecuritySignature,EnableSecuritySignatureDeğişiklikleri üretime almadan önce istemci uyumluluğu ve performans etkisi test edilmelidir.
SMB Paylaşımına Erişilemiyorsa Troubleshooting Sırası
- Sunucu adı DNS ile doğru çözülüyor mu?
Test-NetConnection FILESERVER -Port 445başarılı mı?- Kullanıcı kimlik doğrulaması doğru mu?
- Share permission doğru mu?
- NTFS permission doğru mu?
- İstemci ile sunucu arasında SMB sürümü veya security policy uyumsuzluğu var mı?
Bu katmanları sırayla ayırmak, “Access Denied” ile gerçek bağlantı problemini birbirine karıştırmayı önler.
Sonuç
SMB güvenliği yalnızca SMBv1’i kapatmaktan ibaret değildir. Modern File Server ortamında protokol sürümü, TCP 445 erişimi, signing/encryption, authentication ve NTFS/share izinleri birlikte ele alınmalıdır.
