Windows Server’da SMB Üzerinden Güvenli Dosya Paylaşımı (SMB 3.1.1)

SMB (Server Message Block) protokolü, Windows tabanlı ağlarda dosya, yazıcı ve kaynak paylaşımı için kullanılan temel iletişim mekanizmasıdır. Ancak SMB’nin eski sürümleri (örneğin SMB 1.0) güvenlik açıkları nedeniyle artık önerilmemektedir.
Günümüzde SMB 3.1.1, gelişmiş şifreleme, kimlik doğrulama ve bütünlük denetimi özellikleriyle güvenli dosya paylaşımı için en ideal çözümdür. Bu makalede, Windows Server üzerinde güvenli SMB yapılandırması nasıl yapılır adım adım ele alacağız.

1. SMB 3.1.1 Nedir?

SMB 3.1.1, Windows 10 ve Windows Server 2016 ile birlikte gelen en güncel SMB sürümüdür. Önceki sürümlere göre aşağıdaki güvenlik yeniliklerini içerir:

• Pre-authentication integrity: Kimlik doğrulama öncesi bağlantı bütünlüğü kontrolü.
• AES-128-GCM ve AES-128-CCM şifreleme desteği.
• Dinamik oturum anahtarı değişimi (session key rotation).
• Geliştirilmiş SMB signing ve encryption performansı.

2. SMB’nin Güvenlik Riskleri (Eski Sürümler)

Eski SMB 1.0 sürümleri, WannaCry gibi fidye yazılımların yayılmasında rol oynamıştır. Bu yüzden SMB 1.0’ın sistemlerde tamamen devre dışı bırakılması gerekir:

# PowerShell üzerinden SMB1 devre dışı bırakma
Set-SmbServerConfiguration -EnableSMB1Protocol $false
Set-SmbClientConfiguration -EnableSMB1Protocol $false

Bu işlem, ağ iletişimini yalnızca SMB 2.x ve SMB 3.x protokolleriyle sınırlandırır.

3. SMB 3.1.1 Özelliklerini Kontrol Etme

Sunucuda etkin SMB sürümünü doğrulamak için aşağıdaki komut kullanılabilir:

Get-SmbServerConfiguration | Select EnableSMB2Protocol, EnableSMB1Protocol

Çıktıda SMB1’in False, SMB2’nin True olması gerekir. SMB 3.x, SMB2 modülünün altında çalışır.

4. Güvenli Dosya Paylaşımı Kurulumu

Adım 1 — Paylaşım Klasörü Oluşturun

New-Item -Path "D:\Paylasim" -ItemType Directory

Adım 2 — Erişim İzinlerini Ayarlayın

Klasörün NTFS izinlerini yalnızca belirli kullanıcılar için düzenleyin:

icacls "D:\Paylasim" /grant "DOMAIN\Kullanici:(OI)(CI)M"

“Everyone” veya “Authenticated Users” gibi genel izinleri kaldırın.

Adım 3 — SMB Paylaşımı Oluşturun

New-SmbShare -Name "GuvenliPaylasim" -Path "D:\Paylasim" -EncryptData $true -FullAccess "DOMAIN\Kullanici"

-EncryptData $true parametresi, SMB 3.0+ üzerinde verilerin ağ üzerinden şifrelenmesini sağlar.

5. SMB Signing ve Encryption Ayarları

SMB bağlantılarının imzalanması (signing), veri bütünlüğünü sağlar.
Aşağıdaki PowerShell komutlarıyla hem istemci hem de sunucu tarafında aktif hale getirilebilir:

Set-SmbServerConfiguration -EncryptData $true -RejectUnencryptedAccess $true
Set-SmbServerConfiguration -EnableSecuritySignature $true
Set-SmbClientConfiguration -EnableSecuritySignature $true

Bu ayarlar, SMB 3.1.1 protokolünde hem şifreleme hem de kimlik doğrulama bütünlüğü sağlar.

6. Firewall ve Ağ Güvenliği

Firewall’da yalnızca gerekli SMB portlarını açık bırakın:

# SMB için gerekli portlar
TCP 445 (SMB over TCP)
UDP 138 (NetBIOS Datagram)
UDP 137 (NetBIOS Name)

Ancak modern ortamlarda yalnızca TCP 445 yeterlidir. Eski NetBIOS protokollerini kapatmak güvenlik açısından önerilir.

Set-NetFirewallRule -DisplayGroup "File and Printer Sharing" -Enabled False

7. Güvenli Erişim İçin Ek Önlemler

• VPN veya IPsec tünellemesi üzerinden SMB paylaşımı yapın.
• Kerberos kimlik doğrulaması kullanın.
• Güvenilir alt ağlar dışında SMB erişimini yasaklayın.
• WAF veya ağ tabanlı tehdit izleme servisleriyle SMB trafiğini analiz edin.

8. SMB Üzerinden Performans İyileştirme

SMB 3.1.1, donanımsal şifreleme hızlandırmayı destekler. Sunucunuzun Intel AES-NI veya benzeri işlemci özelliğine sahip olması, şifreleme yükünü azaltır.
Ayrıca, büyük dosya aktarımında Optimizasyon Hizmeti kapsamında tuning yapılabilir.

9. Erişim Günlüğü ve İzleme

Windows Event Viewer üzerinden SMB aktivitelerini izleyebilirsiniz:

Event Viewer → Applications and Services Logs → Microsoft → Windows → SMBServer

Yetkisiz erişim denemelerini tespit etmek için düzenli olarak bu loglar kontrol edilmelidir.

10. Sonuç

SMB 3.1.1 protokolü, Windows Server ortamlarında güvenli dosya paylaşımı için en güncel ve güçlü yöntemdir.
AES tabanlı şifreleme, oturum anahtarı yenileme ve kimlik doğrulama bütünlüğü özellikleri sayesinde veri güvenliği üst düzeye çıkar.
smb 3.1.1, windows server güvenliği, hostligo vds, www.hostligo.com hosting, smb şifreleme, dosya paylaşımı güvenliği, optimizasyon hizmeti, kurumsal hosting çözümleri, sunucu barındırma, ağ güvenliği