O que é o netbiosd no Mac? Por que o macOS pede para permitir

netbiosd é um processo em segundo plano incluído no macOS e assinado pela Apple. A sua função é implementar NetBIOS, uma camada antiga de nomes de rede que máquinas Windows usam há décadas para se anunciarem e se encontrarem numa rede local.

O NetBIOS é anterior à maior parte do que hoje se entende por redes modernas. Foi desenhado para uma época em que computadores na mesma rede de escritório precisavam de uma forma simples de reclamar um nome curto, legível por pessoas, e anunciá-lo para que os outros encontrassem a máquina certa por trás de um endereço. A Windows adotou-o, ligou-o de perto à partilha de ficheiros e impressoras, e ele tornou-se a base da navegação clássica no Network Neighborhood.

A Apple incluiu suporte para ele porque os Mac sempre precisaram de coexistir com redes Windows. Quando o seu Mac consegue ver um PC Windows na barra lateral do Finder, ou quando um PC Windows consegue ver o seu Mac com a partilha de ficheiros ativa, o netbiosd pode fazer parte do que permitiu esse encontro. O mesmo se aplica a dispositivos de armazenamento ligados à rede e a impressoras de rede mais antigos, muitos dos quais foram construídos em torno de SMB e da navegação ao estilo Windows.

Vale a pena ser preciso quanto ao limite. O netbiosd trata da descoberta e da nomeação na sua rede local: decide que máquina responde a que nome curto e permite que os dispositivos na mesma sub-rede se descubram uns aos outros. A transferência real de ficheiros, depois de se ligar a uma partilha, é tratada por outras partes do sistema.

O firewall de aplicações do macOS funciona com um princípio simples: quando um programa quer aceitar ligações de entrada, o macOS pergunta uma vez e depois guarda a sua resposta. O tráfego de saída não é o que dispara a caixa de diálogo. Algo que está à escuta é.

O netbiosd está à escuta por desenho. O anúncio de nomes é uma conversa em dois sentidos: o seu Mac transmite o seu nome e também tem de estar acessível quando outra máquina pergunta quem detém um nome específico. Isso significa abrir um socket de escuta na rede local, que é precisamente o comportamento que o firewall foi criado para mostrar. O serviço de nomes do NetBIOS usa tradicionalmente a porta UDP 137 e o serviço de datagramas a porta UDP 138; esses números são стандарт, embora o que esteja efetivamente em uso dependa da sua versão do macOS e dos serviços de partilha que tiver ativados.

É por isso que o netbiosd aparece naquela caixa de diálogo muito mais vezes do que a maioria dos processos do sistema. Não está a comportar-se mal, e não mudou. É um dos poucos daemons da Apple cuja função normal é estar acessível por outras máquinas na mesma rede, e o firewall trata todos esses processos da mesma forma, independentemente de quem os assinou.

O pedido também tende a reaparecer após atualizações do sistema. Quando um binário é substituído durante uma atualização, o firewall pode não o reconhecer como o programa que viu antes e pergunta novamente. Isso é esperado, não é sinal de que algo esteja errado.

netbiosd não é malware. É um componente da Apple, distribuído com o macOS, e num sistema saudável vem com uma assinatura de código da Apple. Nada em vê-lo no Monitor de Atividade ou num pedido do firewall indica comprometimento.

Não tem de aceitar isso sem mais. No Monitor de Atividade, selecione o processo e abra o inspetor para ver o caminho completo do executável a partir do qual foi lançado: um daemon de sistema genuíno vive nos diretórios do sistema, não na sua pasta Transferências. Se se sentir à vontade no Terminal, a ferramenta codesign com a opção verbose verify, apontada para esse caminho, mostra a autoridade de assinatura; para uma cópia legítima, essa autoridade é Apple. Qualquer coisa que reclame esse nome a partir de um local inesperado, ou falhe na verificação, merece ser investigada com mais atenção.

A outra metade da garantia importa tanto como a primeira. netbiosd é um processo de rede local, não de internet. O serviço de nomes NetBIOS baseia-se em broadcast e fica limitado à sua sub-rede local: não atravessa a internet, e os routers não encaminham esse tráfego para o exterior em funcionamento normal. O receio que costuma estar por trás desta pesquisa, de que algum daemon desconhecido esteja a enviar os seus dados para algum lado, não se aplica. Seja o que for que o netbiosd esteja a dizer, está a dizer aos dispositivos da sua casa ou do seu escritório.

Essa distinção vale para qualquer investigação de processos no macOS: um processo que está à escuta na sua rede local e outro que mantém uma ligação persistente a um servidor remoto fazem coisas muito diferentes, e merecem níveis diferentes de escrutínio.

Para a maioria dos daemons do sistema, o conselho honesto é permitir e seguir em frente, porque negar quebra algo em que você depende. O netbiosd é uma das exceções genuínas, e merece um momento de reflexão em vez de clicar sem pensar.

Faça a si mesmo uma pergunta: alguma vez se liga a uma pasta partilhada de um PC com Windows, a uma caixa NAS mais antiga ou a uma impressora de rede que depende da navegação ao estilo Windows? Se a resposta for não, e para muitas pessoas com uma casa toda Apple é não, então negar o netbiosd não lhe custa nada que vá notar. O NetBIOS é legado. A descoberta SMB moderna nas plataformas Apple recorre a outros mecanismos, e uma rede sem dispositivos dependentes de NetBIOS não tem nada com que o netbiosd possa falar.

Se a resposta for sim, tenha mais cuidado. Negar ligações de entrada pode quebrar descoberta, a parte em que os dispositivos aparecem automaticamente na barra lateral do Finder, ou em que um computador Windows deteta o seu Mac. Muitas vezes ainda consegue aceder a uma partilha ligando-se explicitamente por nome ou endereço, em vez de esperar que seja listada, por isso o modo de falha costuma ser incómodo, não um bloqueio total. Se uma impressora ou NAS deixar de aparecer de repente, esta é uma causa plausível, e reverter a decisão nas definições da firewall é simples.

Também há uma opção mais limpa do que lutar contra o aviso. Muito do que o netbiosd faz está ligado ao compartilhamento de ficheiros compatível com Windows estar ativado. Se o ativou uma vez para uma transferência única e nunca mais usou, desativá-lo nas definições de partilha resolve a situação na origem.

Seja qual for a escolha, escolha-a deliberadamente. O pior cenário é clicar em Permitir num diálogo que não leu, e é assim que a maioria das pessoas acaba com uma configuração de firewall que ninguém entende.

O netbiosd não é invulgar. Um Mac típico executa dezenas de processos em segundo plano que tocam na rede: alguns falam com a Apple, outros anunciam serviços localmente, outros mantêm ligações em nome de apps que instalou e esqueceu. O aviso da firewall só mostra o subconjunto estreito que quer aceitar ligações de entrada. Tudo o que sai continua invisível, a menos que procure.

Essa assimetria é o verdadeiro problema. É interrompido por um daemon de nomenclatura legado confinado à sua própria sub-rede, enquanto um processo que mantém silenciosamente uma ligação a um servidor remoto nunca gera qualquer diálogo. O Monitor de Atividade diz-lhe que um processo existe e, mais ou menos, quantos bytes moveu, mas não que domínios atingiu, e não oferece forma de o parar sem o terminar.

Essa lacuna de visibilidade é o que o NetMute foi criado para fechar. Mostra tráfego de rede em tempo real por app e por processo, com registo ao nível do domínio, por isso, em vez de um nome de processo e uma contagem de bytes, vê para onde cada app está realmente a ligar. A firewall por app bloqueia qualquer coisa com um clique, e as regras temporárias expiram sozinhas, para que um teste rápido não se torne silenciosamente permanente. Os perfis de rede aplicam regras diferentes consoante a rede Wi-Fi a que está ligado, o que ajuda quando uma rede doméstica de confiança e um hotspot de aeroporto pedem níveis diferentes de cuidado.

O objetivo não é bloquear mais coisas. É responder à pergunta que o trouxe aqui, o que é este processo e com quem está a falar, sem procurar a resposta sempre que aparece um nome novo.