SMB 签名检查看什么
SMB 签名给每条 SMB 消息附加完整性校验，能阻断篡改与中继类攻击。检查对象是两侧策略：服务端是否要求签名（RequireSecuritySignature），客户端是否要求签名。只在服务端开启“支持签名”而设置为非必需时，协商过程仍可能回落到不签名，中继风险依然存在。
基本信息
| 适用平台 | Windows Server/客户端、Samba、NAS 与共享存储设备 |
|---|---|
| 检查对象 | 文件服务器、域内成员机、共享设备与打印服务器 |
| 关键配置 | RequireSecuritySignature（服务端与客户端各一份） |
| 评估组合 | 与 NTLM 使用面、网络可达性一并判断 |
典型使用场景
- 文件服务器加固基线核查
- 内网中继类风险的前提条件确认
- NAS 与第三方存储设备接入域环境时的兼容性评估
- 域内终端统一策略下发前的现状摸底
- 安全基线工具结果的人工复核
检查命令（Windows，自查）
检查命令（Windows，自查）
Get-SmbServerConfiguration | Select-Object RequireSecuritySignature, EnableSecuritySignature # 服务端签名策略
Get-SmbClientConfiguration | Select-Object RequireSecuritySignature, EnableSecuritySignature # 客户端签名策略
Get-SmbConnection | Select-Object ServerName, Dialect, Signed # 当前连接的实际签名状态
# 注册表位置：LanmanServer\Parameters 与 LanmanWorkstation\Parameters 下的 RequireSecuritySignature配置项与期望
| 配置项 | 位置 | 期望与说明 |
|---|---|---|
| RequireSecuritySignature | 服务端 | 对关键服务器建议要求签名 |
| EnableSecuritySignature | 服务端 | 仅支持签名时安全强度不足 |
| RequireSecuritySignature | 客户端 | 终端侧同样建议要求，避免被诱导降级 |
| 实际连接状态 | 会话层 | 确认协商结果是否为已签名 |
| Samba 侧 | smb.conf | server signing 参数需与 Windows 侧策略对齐 |
签名是纵深控制之一，不是单点修复：关键服务器要求签名外，还要限制网络可达性、减少 NTLM 使用面，才能把中继类风险压下去。
直接对全部设备要求签名会让不支持签名的旧设备与部分 NAS 共享中断：先在测试环境验证兼容性，再按批次推进。
域环境可以通过组策略统一下发签名要求（计算机配置 → Windows 设置 → 安全设置 → 本地策略 → 安全选项中的网络服务器与网络客户端数字签名通信相关项）。推送前先建测试 OU 验证旧设备与共享打印机的兼容性，再分批扩大范围。