La configuración de SMB Signing permite exigir la firma digital de las comunicaciones SMB para disminuir la exposición a ataques de Man-in-the-Middle y SMB Relay. Esta guía conserva el procedimiento para aplicar el control mediante GPO, directiva local o PowerShell, comprobar su estado y revertir la obligatoriedad ante incompatibilidades.
Ficha de la remediación
ID de Referencia
SEC-INF-01
CWE / CVE
CVE-2016-2115 / CWE-319 (Cleartext Transmission of Sensitive Information)
Severidad
Media / Alta (Facilita ataques de Man-in-the-Middle y SMB Relay)
Descripción del fallo
El protocolo Server Message Block (SMB) permite el compartido de archivos y recursos en redes Windows. Cuando el firmado de SMB no está configurado como obligatorio (Required), un atacante en la red local puede interceptar el tráfico mediante un ataque de Man-in-the-Middle (MitM) o SMB Relay (utilizando herramientas como Responder o ntlmrelayx), logrando capturar o retransmitir hashes de autenticación sin necesidad de conocer las credenciales en texto plano.
Nota sobre versiones de Windows
En Windows 11 el firmado de SMB viene activado y requerido por defecto. Sin embargo, en Windows 10, Windows Server 2019 y versiones anteriores, se encuentra configurado como opcional, lo que expone a la red a este vector de ataque.
Aclaración editorial: Microsoft documenta este comportamiento por versión y edición. Antes del despliegue, confirme el valor predeterminado aplicable al sistema evaluado en la documentación oficial sobre SMB Signing.
Prerrequisitos
Privilegios administrativos
Cuenta con privilegios de Administrador Local (para equipos independientes) o Administrador del Dominio (para despliegue global vía GPO).
Compatibilidad de dispositivos
Validar previamente en un entorno de pruebas que dispositivos legacy (como escáneres e impresoras antiguas) soporten el firmado de paquetes.
Impacto técnico y de negocio
Impacto técnico
Sin la obligatoriedad de firma, un adversario con posición en la red puede intentar alterar o retransmitir comunicaciones SMB y abusar de hashes de autenticación capturados.
Impacto de negocio
Un ataque exitoso puede facilitar accesos no autorizados a recursos compartidos, afectar la confidencialidad e integridad de la información y generar interrupciones durante la contención.
Cómo aplicar la configuración de SMB Signing
Opción 1: Remediación mediante Entorno Gráfico (GPO / Directiva Local)
- Presiona Win + R, escribe
secpol.msc(Directiva de seguridad local) ogpmc.msc(Administración de directivas de grupo) y presiona Enter. - Navega en el panel izquierdo hasta la ruta:
Configuración de seguridad ➔ Directivas locales ➔ Opciones de seguridad.3. Configura el lado del Cliente de red:
- Selecciona la directiva Cliente de redes de Microsoft: firmar digitalmente las comunicaciones (siempre) y cámbiala a Habilitada.
- Asegúrate de que la directiva Cliente de redes de Microsoft: firmar digitalmente las comunicaciones (si el servidor lo permite) también permanezca Habilitada para permitir la capacidad técnica de firmado.
4. Configura el lado del Servidor de red:
- Selecciona la directiva Servidor de red Microsoft: firmar digitalmente las comunicaciones (siempre) y cámbiala a Habilitada.
- De igual forma, confirma que la directiva Servidor de red Microsoft: firmar digitalmente las comunicaciones (si el cliente lo permite) esté en Habilitada.
5. Aplica los cambios y actualiza las directivas del sistema ejecutando en una consola de comandos (cmd):
gpupdate /forceOpción 2: Remediación mediante Comandos (PowerShell)
Abre la consola de PowerShell como Administrador y ejecuta las instrucciones para exigir el firmado tanto en el rol de servidor como en el de cliente:
1. Habilitar la capacidad y forzar la obligatoriedad en el Servidor SMB:
Set-SmbServerConfiguration -EnableSecuritySignature $true -RequireSecuritySignature $true -Force2. Habilitar la capacidad y forzar la obligatoriedad en el Cliente SMB:
Set-SmbClientConfiguration -EnableSecuritySignature $true -RequireSecuritySignature $true -ForceVerificación posterior de SMB Signing
Ejecuta los siguientes comandos en PowerShell para verificar que las directivas se hayan aplicado correctamente:
Verificar configuración del Servidor SMB
# Verificar configuración del Servidor SMB
Get-SmbServerConfiguration | Select-Object EnableSecuritySignature, RequireSecuritySignatureVerificar configuración del Cliente SMB
# Verificar configuración del Cliente SMB
Get-SmbClientConfiguration | Select-Object EnableSecuritySignature, RequireSecuritySignatureResultado esperado:
EnableSecuritySignature RequireSecuritySignature
----------------------- ------------------------
True TrueAl relanzar el escaneo en la herramienta de auditoría (como Tenable / Nessus), el hallazgo relativo a SMB Signing Not Required no debería detectarse porque estariao Resuelto.
Plan de Rollback (Reversión)
Incompatibilidad con equipos antiguos
Vía GPO: Restablece las directivas que contienen la palabra (siempre) al estado Deshabilitada o No configurada.
Vía PowerShell:
Set-SmbServerConfiguration -RequireSecuritySignature $false -Force
Set-SmbClientConfiguration -RequireSecuritySignature $false -ForceAplicar los cambios
Ejecuta gpupdate /force para aplicar los cambios de inmediato.
Recomendaciones complementarias
Despliegue controlado
Pruebe la política con grupos piloto e inventaríe equipos legacy, almacenamiento NAS, impresoras y aplicaciones que dependan de SMB antes del despliegue general.
Monitoreo posterior
Revise fallos de conexión, autenticación invitada y rendimiento después de exigir la firma, manteniendo evidencia de los valores aplicados en cliente y servidor.
Controles complementarios
La firma aporta integridad y autenticidad, pero no cifra el contenido. Evalúe autenticación Kerberos, segmentación y cifrado SMB cuando el riesgo y la compatibilidad lo requieran.
¿Cómo puede apoyar Password?
Password Consulting Services puede acompañar la evaluación del hardening de Windows mediante auditorías de infraestructura y Pentesting Avanzado. El objetivo es identificar configuraciones permisivas, validar la aplicación de SMB Signing y comprobar los controles relacionados sin afectar innecesariamente la operación. También puede consultar otras guías de remediación.
Valide el hardening de su infraestructura Windows
Conozca cómo Password puede acompañar la revisión técnica de SMB Signing y la validación posterior de los controles implementados.
Solicitar diagnósticoPreguntas frecuentes
¿Qué diferencia existe entre habilitar y requerir SMB Signing?
EnableSecuritySignature habilita la capacidad de firmar; RequireSecuritySignature exige la firma. El procedimiento suministrado establece ambos valores en $true para cliente y servidor.
¿SMB Signing cifra los archivos compartidos?
No. La firma ayuda a verificar integridad y autenticidad de los mensajes SMB, pero no reemplaza el cifrado cuando también se necesita confidencialidad del tráfico.
¿Qué puede fallar al exigir la firma SMB?
Dispositivos antiguos, servidores de terceros y accesos invitados pueden presentar incompatibilidades. Por ello, el documento exige validar previamente escáneres e impresoras legacy en un entorno de pruebas.
¿Cómo comprobar la configuración de SMB Signing?
Ejecute los comandos de consulta para cliente y servidor y confirme que EnableSecuritySignature y RequireSecuritySignature aparezcan en True. Después, repita el escaneo de auditoría.
