Windows服务器上NetBIOS和LLMNR协议默认启用，但这会带来严重的安全风险。攻击者可以利用NetBIOS名称解析和LLMNR（链路本地多播名称解析）进行欺骗攻击，截获凭证或重定向流量。要提升服务器安全，最直接的方法就是彻底禁用这两个协议。下面我会一步步告诉你具体的操作方法和背后的原理。
NetBIOS和LLMNR协议的安全隐患是什么？
NetBIOS是一个老旧的网络协议，用于在局域网内提供名称解析和服务发现。它依赖广播通信，缺乏有效的身份验证机制。攻击者可以在网络中伪装成合法的NetBIOS名称，诱使其他计算机向其发送数据，从而实施中间人攻击，窃取NTLM哈希等敏感信息。
LLMNR是Windows Vista及之后系统引入的协议，作为DNS解析失败的备用方案。它同样使用多播方式在本地链路进行名称解析，也存在类似的欺骗缺陷。当系统DNS查询失败时，会转而使用LLMNR查询，攻击者可以伪装响应，将流量导向恶意服务器。这两种协议在内部网络中尤其危险，是横向移动和凭证窃取的常用入口点。
如何检查NetBIOS和LLMNR的当前状态？
在采取禁用措施前，你需要先确认服务器上这些协议是否处于活动状态。对于NetBIOS，可以打开命令提示符，输入
nbtstat -n
查看当前注册的NetBIOS名称。同时，检查每个网络适配器的TCP/IP设置中的“WINS”选项卡，看是否启用了NetBIOS over TCP/IP。
对于LLMNR，可以通过PowerShell命令查询。以管理员身份运行PowerShell，输入：
Get-ItemProperty -Path "HKLM:\SOFTWARE\Policies\Microsoft\Windows NT\DNSClient" -Name "EnableMulticast" -ErrorAction SilentlyContinue
如果返回的“EnableMulticast”值为0，则表示LLMNR已禁用；若不存在或值为1，则表示启用。此外，你也可以使用网络抓包工具（如Wireshark）直接观察网络是否存在LLMNR或NetBIOS-NS（名称服务）流量。
详细步骤：在Windows服务器上禁用NetBIOS
禁用NetBIOS主要有两种方法：通过图形界面（GUI）和通过注册表。图形界面方法适用于单台服务器或临时调整。打开“网络和共享中心”，进入“更改适配器设置”，右键点击活动网络连接，选择“属性”。在列表中找到“Internet协议版本4 (TCP/IPv4)”，再次点击“属性”。在弹出窗口中点击“高级”，切换到“WINS”选项卡，选择“禁用TCP/IP上的NetBIOS”。确保对所有活动的网络适配器（包括IPv6）重复此操作。
对于大规模部署或需要脚本化管理的场景，修改注册表更高效。打开注册表编辑器，定位到：
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\NetBT\Parameters\Interfaces
在该项下，你会看到多个对应于不同网络适配器的GUID子项。在每个GUID子项中，找到或新建一个DWORD（32位）值，命名为“NetbiosOptions”，并将其值设置为“2”。值“2”代表完全禁用NetBIOS over TCP/IP。修改后需要重启服务器或重启“TCP/IP NetBIOS Helper”服务以使更改生效。
详细步骤：在Windows服务器上禁用LLMNR
禁用LLMNR同样可以通过组策略或注册表完成。最有效的方法是使用组策略编辑器（gpedit.msc）。打开后，导航至“计算机配置” -> “管理模板” -> “网络” -> “DNS客户端”。在右侧找到“关闭多播名称解析”策略，双击并将其设置为“已启用”。应用策略后，在命令提示符运行
gpupdate /force
刷新组策略。此策略实质上就是修改注册表中之前提到的“EnableMulticast”值为0。
如果服务器未加入域或你偏好直接操作注册表，可以手动修改。以管理员权限打开注册表编辑器，定位到：
HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows NT\DNSClient
如果“DNSClient”项不存在，请手动创建。然后在该项下新建一个DWORD（32位）值，命名为“EnableMulticast”，将其值设置为“0”。退出注册表编辑器并重启计算机，或重启“DNS Client”服务。
禁用后的验证与替代名称解析方案
完成配置后，必须进行验证。重新运行之前的检查命令：
nbtstat -n
应不再显示依赖NetBIOS over TCP/IP的条目。同时，使用Wireshark抓包，过滤“llmnr”或“nbns”流量，应观察不到相关查询包。你还可以尝试在服务器上故意ping一个不存在的本地主机名，如果LLMNR已禁用，系统应直接返回DNS解析错误，而不会产生LLMNR多播流量。
禁用NetBIOS和LLMNR后，需要确保正常的名称解析不受影响。在企业环境中，应确保所有设备都正确配置了内部DNS服务器。对于没有域环境的场景，可以考虑使用可靠的本地Hosts文件进行关键主机的静态映射，但这只适用于主机数量很少的情况。确保DNS服务器本身的安全和冗余至关重要，它是整个网络名称解析的基石。
更深层的安全加固与最佳实践
仅禁用NetBIOS和LLMNR还不够，你需要采取一套组合拳。首先，在防火墙层面进行封锁。在Windows高级安全防火墙中，创建入站和出站规则，明确阻止NetBIOS相关端口（UDP 137、138，TCP 139、445）和LLMNR端口（UDP 5355）的通信，除非业务有绝对必要。这能提供一层额外的防御。
其次，启用并强制使用SMB签名和NTLMv2及以上认证。这可以极大增加攻击者即使截获通信也难以利用的难度。通过组策略路径“计算机配置 -> Windows设置 -> 安全设置 -> 本地策略 -> 安全选项”中，配置“Microsoft网络服务器：数字签名的通信（始终）”等相关策略。
最后，建立持续的监控和审计机制。利用Windows事件日志（如安全日志和DNS客户端日志）和SIEM系统，监控与名称解析失败、异常身份验证尝试相关的事件ID。定期进行内部网络漏洞扫描和渗透测试，主动寻找残留的或不当的NetBIOS/LLMNR配置。
总结：安全是权衡与持续的过程
在Windows服务器上禁用NetBIOS和LLMNR是一项基础但关键的安全加固措施。它直接关闭了两个低安全性的、易被欺骗的广播名称解析协议，有效防御了基于名称解析的欺骗攻击、中间人攻击和凭证窃取。操作本身并不复杂，但要求管理员对网络依赖有清晰了解，并提前部署好可靠的DNS基础设施作为替代。安全永远是功能与风险之间的权衡，在追求零信任和最小权限的今天，关闭不必要的服务和协议是构筑纵深防御体系的第一步，也是最坚实的一步。
