Puerto 445 (TCP): para qué sirve y si debes bloquearlo

El puerto TCP 445 lo usa SMB (Server Message Block), el protocolo detrás de la compartición de archivos e impresoras de Windows, los named pipes y los recursos compartidos administrativos. ¿Deberías bloquearlo? Sí en el perímetro de internet, siempre; dentro de la red, permítelo solo entre los clientes y los servidores de archivos que lo necesitan. El puerto 139 transporta la ruta más antigua de SMB sobre NetBIOS. Son infraestructura cotidiana en una red Windows y, cuando están expuestos o sin parchear, de lo más sistemáticamente peligroso que hay en ella.

Para ver si tus propios hosts responden en el 445 desde internet, prueba la comprobación de exposición del puerto SMB 445.

Así que el número de puerto de SMB es el 445 en cualquier red moderna, con el 139 mantenido por compatibilidad. Puedes consultar el riesgo de cualquier otro puerto con nuestra consulta de riesgo de puertos.

Qué son realmente SMB y NetBIOS

SMB (Server Message Block) es el protocolo que usa Windows para compartir archivos e impresoras, pasar named pipes entre procesos y transportar conexiones administrativas como los recursos ocultos ADMIN$ e IPC$. Cuando asignas una unidad de red o abres \servidor ecurso, el trabajo lo hace SMB.

NetBIOS es una capa más antigua de sesión y resolución de nombres sobre la que SMB solía funcionar. Usa UDP 137 y 138 para resolución de nombres y datagramas y TCP 139 para la propia sesión. El SMB moderno ya no la necesita: desde Windows 2000, SMB puede funcionar directamente sobre TCP en el puerto 445, y ese es el puerto que más importa hoy. El 139 sigue ahí por compatibilidad. En resumen: NetBIOS es fontanería heredada, SMB es el servicio, el 139 es SMB sobre NetBIOS y el 445 es SMB directo.

Por qué el 445 y el 139 son de alto riesgo

SMB no es un protocolo trivial. Está autenticado, llega al sistema de archivos y mueve comunicación entre procesos. Esa riqueza es justo lo que hace tan dañino un fallo en el servicio SMB: un solo bug puede significar ejecución remota de código con privilegios de sistema, sin interacción del usuario.

El ejemplo de referencia es EternalBlue, una vulnerabilidad en el dialecto obsoleto SMBv1 que Microsoft corrigió en el boletín MS17-010. En 2017, el gusano de ransomware WannaCry y, poco después, NotPetya lo convirtieron en arma: una vez dentro de una red, buscaban otras máquinas que escucharan en el puerto 445 y explotaban SMBv1 sin parchear para propagarse automáticamente, de host en host, sin intervención humana. Esa autopropagación por el puerto 445 es la razón por la que estos brotes recorrieron las organizaciones tan rápido. La lección fue contundente: un servicio SMB explotable más alcance de red es igual a una autopista para gusanos.

Más allá de las vulnerabilidades sonadas, un SMB expuesto invita a ataques de fuerza bruta contra credenciales, y el dialecto heredado SMBv1 es débil por sí mismo. Mapear qué ataques habilita realmente una exposición concreta es el tipo de pregunta que responde un modelo de amenazas estructurado antes de un incidente, no después.

Estos puertos nunca deben estar expuestos a internet

No hay ninguna razón legítima para que un puerto SMB de Windows sea alcanzable desde la internet pública. SMB es un protocolo de red local; exponerlo hacia fuera le da a toda internet acceso directo a tus recursos compartidos y a un servicio autenticado que ejecuta código y tiene un largo historial de fallos críticos. Muchos ISP y proveedores de nube bloquean el 445 entrante en su propio perímetro precisamente porque esta exposición se abusa de forma sistemática. Si de verdad necesitas acceso a archivos a través de internet, ponlo detrás de una VPN o usa un servicio de archivos seguro diseñado para ello, nunca un puerto SMB al desnudo. Trata cualquier puerto SMB que encuentres expuesto a internet como un incidente que cerrar, no como un ajuste que retocar. La misma disciplina se aplica a otros servicios pensados solo para una LAN de confianza, como los atajos de compartición descritos en nuestro explicativo sobre UPnP.

Cómo defender bien SMB

• Bloquea el 139 y el 445 de entrada en el perímetro. Sin excepciones para la internet pública. Es el control más importante y no cuesta nada.
• Desactiva SMBv1 por completo. Es el dialecto que transportó EternalBlue y no tiene sitio en un sistema moderno. Elimina la característica en lugar de esperar que nada la negocie.
• Parchea rápido. Los fallos de SMB son objetivos de alto valor; el hueco entre la publicación de un parche y el uso del bug antiguo por parte de los gusanos es donde las organizaciones salen dañadas.
• Segmenta la red interna. Incluso dentro de la LAN, SMB solo debería circular entre hosts que de verdad comparten archivos, no de forma plana por todas las subredes. La segmentación es lo que impide que un solo portátil comprometido alcance todos los servidores en el 445: el mismo principio de contención que está en el centro de zero trust y de la defensa en profundidad.
• Exige la firma SMB. La firma resiste la manipulación y los ataques de retransmisión (relay) contra las sesiones SMB.
• Restringe con el firewall del host. Limita qué máquinas concretas pueden alcanzar el puerto SMB de un servidor, para que el servicio solo responda a los clientes que deben usarlo.

La conclusión

Los puertos 139 y 445 son la columna vertebral de la compartición de archivos en Windows, y justo por eso son peligrosos cuando se manejan mal. SMB es lo bastante potente como para que un solo fallo signifique un compromiso total, y lo bastante alcanzable como para que gusanos como WannaCry convirtieran el puerto 445 en un mecanismo de propagación. Mantén ambos puertos fuera de internet, elimina SMBv1, parchea, segmenta y firma, y un protocolo que causó algunos de los peores brotes de la historia se convierte en un servicio tranquilo, controlado y solo interno.

Preguntas frecuentes

¿Para qué se usan los puertos 139 y 445? Para compartir archivos e impresoras en Windows mediante SMB. El 445 transporta SMB directamente sobre TCP; el 139 transporta la sesión más antigua de SMB sobre NetBIOS. Asignar una unidad o acceder a un recurso compartido los usa.

¿Cuál es la diferencia entre SMB y NetBIOS? SMB es el protocolo de compartición de archivos; NetBIOS es una capa heredada de sesión y nombres sobre la que SMB solía funcionar (puertos 137/138/139). El SMB moderno funciona directamente en el puerto 445 sin NetBIOS.

¿Por qué son de alto riesgo? SMB es un servicio autenticado que toca el sistema de archivos, así que un fallo puede dar ejecución remota de código. EternalBlue (SMBv1, MS17-010) permitió que WannaCry y NotPetya se propagaran automáticamente por el puerto 445 en 2017.

¿Debería estar el 445 expuesto a internet alguna vez? No. No hay ninguna razón legítima para exponer públicamente un puerto SMB de Windows; bloquea el 139 y el 445 de entrada y usa una VPN o un servicio de archivos seguro para el acceso remoto.

¿Cómo se protegen? Bloquéalos en el perímetro, desactiva SMBv1, parchea, segmenta las redes internas, exige la firma SMB y restringe qué hosts pueden alcanzar el puerto SMB de cada servidor.