为什么以及如何在Windows 10/8/7上禁用SMB1

虽然系统的安全问题尚未出现，但万纳曼勒索软件引起的混乱情况促使网民立即采取行动。 Ransomware以Windows操作系统SMB服务的漏洞为目标进行传播。

SMB 或 服务器消息块 是用于共享文件，打印机等的网络文件共享协议电脑。有三个版本 - 服务器消息块（SMB）版本1（SMBv1），SMB版本2（SMBv2）和SMB版本3（SMBv3）。出于安全原因，Microsoft建议您禁用SMB1--鉴于WannaCrypt或NotPetya勒索软件流行病，这样做并不重要。

在Windows上禁用SMB1

为了抵御WannaCrypt勒索软件，您必须为您 禁用SMB1 以及 安装Microsoft发布的修补程序 。让我们看看一些禁用SMB1的方法。

通过控制面板关闭SMB1

打开控制面板>程序和功能> 打开或关闭Windows功能

在列表中的选项，一个选项是 SMB 1.0 / CIFS文件共享支持。

使用Powershell禁用SMBv1

在管理员模式下打开PowerShell窗口，输入以下命令并按Enter键以禁用SMB1：

Set-ItemProperty -Path“HKLM： SYSTEM CurrentControlSet Services LanmanServer Parameters”SMB1 -Type DWORD -Value 0 -Force

如果由于某种原因需要暂时禁用SMB版本2和版本3，请使用此命令：

Set-ItemProperty -Path“HKLM： SYSTEM CurrentControlSet Services LanmanServer Parameters”SMB2 -Type DWORD -Value 0 -Force

建议禁用SMB版本1，因为它已过时并使用技术这就是将近30年的历史

微软说，当你使用SMB1时，你会失去以后SMB协议版本提供的关键保护，如：

预认证完整性（SMB 3.1.1+） - 防止安全降级攻击

1. 不安全的访客身份验证拦截（Windows 10+上的SMB 3.0+） - 防止MiTM攻击
2. Se （SMB 3.0，3.02） - 防止安全降级攻击
3. 更好的消息签名（SMB 2.02+） - HMAC SHA-256替代MD5，因为SMB 2.02，SMB 2.1和AES-CMAC中的散列算法替代了MD5在SMB 3.0+中。签名性能在SMB2和3中增加。
4. 加密（SMB 3.0+） - 防止检查电缆上的数据，MiTM攻击。在SMB 3.1.1中，加密性能甚至优于签名。
5. 如果希望稍后启用它们（不推荐用于SMB1），命令如下所示：

要启用SMB1：

Set- ItemProperty -Path“HKLM： SYSTEM CurrentControlSet Services LanmanServer Parameters”SMB1 -Type DWORD -Value 1 -Force

启用SMB2和SMB3：

Set-ItemProperty -Path“HKLM： SYSTEM CurrentControlSet Services LanmanServer Parameters“SMB2 -Type DWORD -Value 1 -Force

使用Windows注册表禁用SMB1

您也可以调整Windows注册表以禁用SMB1。

运行

注册表 和导航到以下注册表项： HKEY_LOCAL_MACHINE SYSTEM CurrentControlSet Services LanmanServer Parameters

在右侧，DWORD

SMB1 不应存在或应具有 的值 <999999> 启用和禁用它的值如下： 0

=禁用

• 1 =启用 有关更多选项以及禁用SMB上的SMB协议的方法服务器和SMB客户端访问Microsoft。