共享权限矩阵法
Windows 文件共享的最终权限是共享权限与 NTFS 权限两层叠加后取更严格的一方，只改一层往往达不到预期效果。实际环境里常见两类问题：历史共享设成全员可读写，或者部门盘给了所有人写权限。读权限过宽会导致敏感数据泄露，写权限过松则可被用作横向移动的落脚点，例如投放可执行文件让他人打开。核查用矩阵法：共享名、使用群体、应有权限、实际权限四列对齐，找出范围过宽与写权限过松两类偏差。
基本信息
| 适用平台 | Windows 文件服务器与各类 NAS 的共享目录 |
|---|---|
| 权限来源 | 共享权限与 NTFS 权限叠加，最终取更严格一方 |
| 核查维度 | 共享名、群体、应有权限（读/改/完全）、实际权限 |
| 产出物 | 权限矩阵、超范围访问清单与收敛建议 |
典型使用场景
- 部门公共盘：为方便协作把写权限开到全员，缺少审批
- 历史共享：早期临时共享未清理，形成数据堆积与权限松散
- 财务与人事共享：含薪酬与合同数据，应是收益最高的收敛目标
- 运维共享：存放脚本与安装包，常被直接开放写权限
- NAS 与备份目录：设备侧另有权限体系，与域权限叠加后更难判断
采集与核对
采集与核对
1. 列出共享清单与路径 # 建议用只读方式导出，避免误改
2. 导出每个共享的访问控制，标注允许访问的群体与权限级别
3. 与业务确认应有群体与所需最小权限，形成应有基线
4. 对齐差异：能读的不该读为范围过宽，能写的不该写为写权限过松
5. 输出矩阵与整改顺序，先收敛敏感数据目录权限矩阵示例
| 共享名 | 应有群体 | 实际可访问群体 | 判定 |
|---|---|---|---|
| 财务共享 | 财务部 | 全员可读 | 范围过宽，高风险 |
| 部门公共盘 | 本部门 | 全员可写 | 写权限过松，中风险 |
| 人事档案 | 人事与高管 | 人事读写、IT 完全控制 | 需确认 IT 完全控制的必要性 |
| 运维共享 | 运维组 | 运维组读写 | 符合预期 |
权限核查必须与业务确认应有基线，报告按最小权限原则给建议，避免把业务合理授权直接判为缺陷。