文件共享要查两件事
Windows 上的文件共享核查就两件事：旧版协议是否已关闭，共享清单是否每一项都有用途与权限说明。旧版协议是历史蠕虫的传播通道，现代环境基本不再需要；共享本身则是勒索软件横向移动的首选路径——攻击者扫描到可写共享后，加密文件可以沿着网络快速铺开。两项都属于优先整改内容。
基本信息
| 加固项 | 共享服务安全配置 |
|---|---|
| 适用平台 | Windows 10/11 与 Windows Server 2016+ |
| 风险等级 | 高 |
| 判读 | 旧版协议已关闭，共享清单一项一用途 |
| 权限层次 | 共享权限与文件系统权限两层都要检查 |
典型使用场景
- 交付核查：确认主机共享清单与授权一致
- 勒索防护：横向移动路径是勒索事件的核心检查项
- 事件排查：确认攻击者是否通过共享投递文件
- 共享治理：清理长期无人维护或权限过宽的目录
- 协议收敛：关闭不再使用的旧版协议并确认兼容性
核查命令
核查命令
Get-SmbServerConfiguration | Select-Object EnableSMB1Protocol,EnableSMB2Protocol,RequireSecuritySignature,EncryptData
Get-SmbShare | Select-Object Name,Path,Description
Get-SmbShareAccess -Name <共享名> # 查看某个共享的访问控制
Get-SmbConnection | Select-Object ServerName,ShareName,UserName # 活动连接
net share # 传统命令交叉确认检查项读法
| 检查项 | 判读要点 | 整改建议 |
|---|---|---|
| EnableSMB1Protocol | 旧版协议开关，应为关闭 | 关闭前评估老旧设备兼容性 |
| RequireSecuritySignature | 是否要求签名校验 | 防止中间人篡改，建议启用 |
| EncryptData | 是否加密传输数据 | 敏感数据共享场景建议启用 |
| 共享清单 | 每个共享的路径与用途 | 无用途的共享停用或删除 |
| 共享权限 | 共享层与文件系统层 | 两层取交集才是实际权限，只设一层等于没设 |
发现旧版协议开启或存在匿名可读写的共享时，优先于其他低风险项整改：勒索软件横向移动首选的就是这类通道。处置前先确认老旧打印设备或存储设备对协议的依赖，在变更窗口内执行，避免造成业务中断。
共享权限与文件系统权限是两层：两层都允许才真正可访问，只配一层常给人「已受限」的错觉。核查时要两层一起看，并按最小权限核对访问成员，尤其是可写权限的授予范围。
共享治理的做法
把共享整理成台账：共享名、路径、用途、责任人、可访问成员、权限层次。新增共享需登记，无人认领的共享直接停用。台账与核查输出一起按季度复核，共享的暴露面就不再依赖个人记忆，也能在人员变动时快速判断哪些需要调整。