Windows: Ваши сетевые папки — проходной двор? Аудит SMB-шар одним PowerShell-скриптом

Одна "добрая душа" когда-то открыла для всех полный доступ к папке, и теперь это огромная дыра в безопасности. Найти такие уязвимости вручную на 50 серверах — невозможно.

Этот PowerShell-скрипт — ваш аудитор. Он обойдёт серверы и найдёт все сетевые папки с "опасными" правами (например, Everyone или Authenticated Users с полным доступом).

Что делает скрипт:

Берёт список серверов.
Подключается к каждому и получает список всех SMB-шар.
Для каждой шары получает её ACL (Access Control List).
Проверяет ACL на наличие "опасных" групп (Все (Everyone), Прошедшие проверку (Authenticated Users)).
Выводит красивый отчет с найденными уязвимостями.

Код скрипта:
PowerShell

[CmdletBinding()]
param (
    [string[]]$ComputerNames = @("SERVER01", "FILESERVER02"),
    [string[]]$DangerousPrincipals = @("Everyone", "Authenticated Users")
)

$Results = foreach ($Computer in $ComputerNames) {
    if (-not (Test-Connection -ComputerName $Computer -Count 1 -Quiet)) {
        Write-Warning "Сервер $Computer недоступен."
        continue
    }

    Write-Host "Проверяю сервер: $Computer..."
    $Shares = Get-SmbShare -ComputerName $Computer -ErrorAction SilentlyContinue
    
    foreach ($Share in $Shares) {
        $Acl = Get-SmbShareAccess -ComputerName $Computer -Name $Share.Name -ErrorAction SilentlyContinue
        
        foreach ($Ace in $Acl) {
            # Ищем опасные группы с правами не только на чтение
            if ($DangerousPrincipals -contains $Ace.AccountName -and $Ace.AccessRight -ne "Read") {
                [PSCustomObject]@{
                    ComputerName = $Computer
                    ShareName    = $Share.Name
                    Path         = $Share.Path
                    User         = $Ace.AccountName
                    Permission   = $Ace.AccessRight
                    Status       = "DANGEROUS"
                }
            }
        }
    }
}

Write-Host "`n--- РЕЗУЛЬТАТ АУДИТА ОПАСНЫХ ШАР ---" -ForegroundColor Yellow
$Results | Format-Table

Взгляд архитектора: Принцип наименьших привилегий (Principle of Least Privilege) — это фундамент безопасности. Архитектор не настраивает права один раз, он внедряет непрерывный аудит для обнаружения отклонений (drift). Этот скрипт — первый шаг к автоматизированной системе, которая гарантирует, что ваши данные не станут легкой добычей.

#windows #powershell #security #audit #скрипты #smb

Windows: "Аудит красных флагов". Ищем SMBv1 и WinRM HTTP

"Работает — не трогай" — опасный принцип. Часто в сети "живут" серверы со старыми, уязвимыми настройками, оставленными по умолчанию. Две из них — это "открытые ворота" для атак.

1. SMBv1: Древний протокол. Привет, WannaCry. Должен быть выключен везде.

2. WinRM (HTTP): Удаленное управление PowerShell по нешифрованному каналу. Позволяет перехватывать учетные данные.

Этот PowerShell-скрипт — ваш сканер "красных флагов".
Что делает скрипт:
* Берёт список серверов.
* Параллельно (-Parallel) опрашивает их.
* Проверяет, включен ли протокол SMBv1.
* Проверяет, слушает ли WinRM нешифрованный HTTP-порт (5985).
Код скрипта:
PowerShell

[CmdletBinding()]
param (
    [string[]]$ComputerNames = @("SERVER01", "DC01", "APP-02"),
    [switch]$CheckSMB1 = $true,
    [switch]$CheckWinRMHttp = $true
)

Write-Host "--- Начинаю аудит безопасности (SMBv1, WinRM HTTP) ---" -ForegroundColor Cyan

$Report = $ComputerNames | ForEach-Object -Parallel {
    $Server = $_
    $ErrorActionPreference = 'SilentlyContinue'
    
    $Result = [PSCustomObject]@{
        Server = $Server
        SMBv1_Enabled = $null
        WinRM_HTTP_Enabled = $null
    }
    
    if (-not (Test-Connection -ComputerName $Server -Count 1 -Quiet)) {
        $Result.SMBv1_Enabled = "HOST_UNREACHABLE"
        $Result.WinRM_HTTP_Enabled = "HOST_UNREACHABLE"
    } else {
        # 1. Проверка SMBv1
        if ($CheckSMB1) {
            $Result.SMBv1_Enabled = (Get-SmbServerConfiguration -CimSession $Server).EnableSMB1Protocol
        }
        
        # 2. Проверка WinRM HTTP
        if ($CheckWinRMHttp) {
            $Listeners = Get-WSManInstance -CimSession $Server -ResourceURI "winrm/config/Listener"
            $HttpListener = $Listeners | Where-Object { $_.Transport -eq 'HTTP' }
            $Result.WinRM_HTTP_Enabled = [bool]$HttpListener
        }
    }
    
    $Result
} -ThrottleLimit 10

Write-Host "`n--- РЕЗУЛЬТАТ АУДИТА ---"
$Report | Format-Table

Write-Host "`n[!!!] Везде, где 'True' — это уязвимость. Требуется немедленное исправление." -ForegroundColor Red

Взгляд архитектора: Это не просто "аудит". Это валидация вашего Security Baseline. Найденные "True" — это ваше ТЗ на GPO или PowerShell DSC, которые должны принудительно установить EnableSMB1Protocol = $false и удалить HTTP-листенер WinRM по всей инфраструктуре.

#windows #powershell #security #audit #скрипты #sysadmin #smb

Windows: Будущее VPN уже здесь. Разбираем "SMB over QUIC"

Все мы знаем "боль" классических VPN: они медленные, отваливаются, их блокируют файрволы. Доступ к файловым шарам для удаленных пользователей — это вечный компромисс между удобством и безопасностью.

Microsoft решила эту проблему, и это будущее, которое уже здесь: SMB over QUIC.

Что это такое (простым языком): Это "родной" VPN от Microsoft, созданный только для доступа к файловым серверам. Он "заворачивает" стандартный файловый трафик SMB (порт 445) внутрь QUIC (HTTP/3).

Почему это революция для админа:

Безопасность: Весь трафик всегда зашифрован (DTLS 1.3).

Проходит везде: Работает поверх UDP-порта 443. Этот порт открыт в 99.9% сетей (для HTTPS), а значит, доступ будет из любого отеля, кафе или аэропорта.

Стабильность: QUIC "терпим" к смене сетей (Wi-Fi -> LTE -> Wi-Fi), не разрывая сессию.

Взгляд архитектора: Это не просто "фича". Это фундаментальный сдвиг к модели Zero Trust. Вы больше не "пускаете" пользователя во всю внутреннюю сеть (как с VPN). Вы даете ему шифрованный, изолированный доступ только к одному ресурсу — файловому серверу.

#windows #windowsserver #security #networking #smb #quic #architect #гайд

🪟 Windows: SMB через порт 445 в 2026 году — это как ходить в интернет через telnet

Коллеги, признайтесь: у скольких из вас в DMZ или для удалённого офиса проброшен TCP 445 с каким-нибудь ACL "только для своих"? Я видел такое на аудите буквально в прошлом квартале, и это зрелище не для слабонервных.

Windows Server 2025 принёс кое-что важное для всех изданий, не только Azure Edition: SMB over QUIC — это SMB, инкапсулированный в QUIC-протокол и работающий через UDP 443 с TLS 1.3. Для удалённого пользователя это выглядит как обычная сетевая папка, но транспорт полностью зашифрован и firewall-friendly. Никакого VPN, никакого открытого 445-го.

Включаем через PowerShell (WAC для 2025 пока не поддерживает, только PS):

# 1. Убеждаемся что SMBv1 мёртв
Set-SmbServerConfiguration -EnableSMB1Protocol $false -Force

# 2. Включаем аудит — смотрим кто ещё не умеет шифрование
Set-SmbServerConfiguration -AuditClientDoesNotSupportEncryption $true
Set-SmbServerConfiguration -AuditClientDoesNotSupportSigning $true

# 3. Привязываем сертификат к SMB over QUIC
# (сертификат нужен с SAN = FQDN файл-сервера, можно Let's Encrypt)
$thumb = (Get-ChildItem Cert:\LocalMachine\My | 
  Where-Object {$_.Subject -like "*fileserver*"}).Thumbprint

Set-SmbServerCertificateMapping `
  -Name "QuicCert" `
  -Thumbprint $thumb `
  -StoreName "My" `
  -Force

# 4. Включаем QUIC-листенер на интерфейсе
New-SmbServerNetworkInterface `
  -InterfaceAlias "Ethernet" `
  -QuicListener $true

# 5. Проверяем — клиент должен видеть QUIC
Get-SmbConnection | Select ServerName, Dialect, TransportName
# TransportName = QUIC — победа

Зачем это нужно:
Всё SMB-соединение, включая аутентификацию и авторизацию, находится внутри TLS-туннеля и никогда не открыто на сетевом уровне.

Итог: TCP 445 — это наследие 1996 года. У вас есть Windows Server 2025 и три команды в PowerShell. Нет причин не закрыть этот вопрос сегодня.

#windows #smb #quic #security #windowsserver2025 #sysadmin #admin_future

🗓 Windows Server 2022: 13 октября заканчивается основная поддержка. Что это значит на практике

Коллеги, вторник. Ровно через неделю — октябрьский Patch Tuesday и официальная смена жизненного цикла у самой массовой серверной ОС в текущих корпоративных контурах.

📌 ФАКТЫ
13 октября 2026 года — официальное завершение фазы Mainstream Support для всех редакций Windows Server 2022.

14 октября 2031 года — окончание расширенной поддержки (Extended Support).

Что прекращается: закрывается выпуск несекьюрных хотфиксов (non-security bugfixes), перестают приниматься запросы на изменение функционала (DCR) и аннулируются бесплатные инциденты технической поддержки.

Что остаётся: регулярные ежемесячные кумулятивные обновления безопасности (LCU) будут выходить в штатном режиме ещё 5 лет.

⚠️ ГДЕ НА САМОМ ДЕЛЕ ЗАРЫТ РИСК
Повода для паники нет — серверы не превратятся в тыкву. Однако этот рубеж традиционно запускает процесс бюджетирования и планирования миграций на Windows Server 2025. И вот здесь заложена классическая граната:

В Windows Server 2025 подписание SMB-трафика (SMB Signing) включено и обязательно по умолчанию для всех исходящих и входящих клиентских подключений.

Если просто накатить новую ОС или смигрировать файловый сервер без ревизии, мгновенно отвалятся:

Старые сетевые МФУ (сканирование по SMB в сетевую папку);

Древние офисные NAS и прошивки встроенных систем;

Недоконфигурированные Linux-хосты со старыми демонами Samba, где подпись отключена ради производительности.

🛠 ДИАГНОСТИКА ИНФРАСТРУКТУРЫ ДО СТАРТА МИГРАЦИИ
Выполняем на контроллере домена или серверах через PowerShell:

PowerShell

# 1. Инвентаризация: считаем точное количество инстансов Server 2022 в домене
Get-ADComputer -Filter 'OperatingSystem -like "*Server 2022*"' |
  Measure-Object | Select-Object Count

# 2. Проверяем текущую политику требования подписи SMB на сервере и клиенте
Get-SmbServerConfiguration | Select-Object RequireSecuritySignature, EnableSecuritySignature
Get-SmbClientConfiguration | Select-Object RequireSecuritySignature, EnableSecuritySignature

# 3. Аудит с хоста: смотрим, какие текущие сессии висят БЕЗ цифровой подписи (Signed = False)
Get-SmbConnection | Select-Object ServerName, ShareName, Dialect, Signed

💡 В ЧЁМ СУТЬ

Windows Server 2022 без проблем и спешки доживёт до 2031 года в статусе надёжной «рабочей лошадки».

Но если вы уже тестируете или закупаете лицензии под Server 2025, главная задача прямо сейчас — не перенос ролей, а инвентаризация сетевых шар и легаси-оборудования без SMB signing. Иначе в первый же день после миграции техподдержка утонет в тикетах «бухгалтерия не может отсканировать документы».

#windowsserver #lifecycle #smb #activedirectory #migration #powershell #sysadmin #admin_future

📨 Уязвимости ядра Linux по ошибке попали в публичную рассылку. Две из них — RCE с CVSS 9.0 в SMB-коде ядра

Коллеги, история, которая напрямую касается ваших файловых серверов на Linux.

📌 ФАКТЫ
22 октября Zero Day Initiative (Trend Micro) отправила отчёты о шести уязвимостях не в закрытый список безопасности ядра, а в публичную LKML. Судя по всему, по ошибке

Самые серьёзные — удалённое выполнение кода с CVSS 9.0 в SMB Direct и во встроенном SMB-сервере ядра ksmbd

Остальные — повышение привилегий (сетевой код, драйвер VMware vmwgfx и др.) и утечка информации (NVMe target)

На момент публикации исправлений в основном ядре нет: для части уже готовятся патчи

🛠 ЗАДЕВАЕТ ЛИ ВАС
Bash

# ksmbd — модуль ядра, не путать с обычной Samba (smbd)
lsmod | grep -E 'ksmbd|smbdirect'
systemctl status ksmbd 2>/dev/null | head -3

# Кто слушает 445 порт
ss -ltnp | grep ':445'

Пусто или процесс smbd — у вас классическая Samba, ksmbd не используется

Если ksmbd включён и не нужен — выгрузите модуль и запретите его загрузку до выхода патчей

Bash

modprobe -r ksmbd
echo 'install ksmbd /bin/false' > /etc/modprobe.d/disable-ksmbd.conf

💡 В ЧЁМ СУТЬ

Пока патчей нет, работает только сокращение поверхности атаки. SMB-порт никогда не должен смотреть в интернет, а модули ядра, которыми вы не пользуетесь, лучше не загружать вовсе.

#linux #kernel #smb #ksmbd #security #sysadmin #admin_future