受控文件夹访问是什么
受控文件夹访问（CFA）会拦截未授权程序对受保护目录的写入，是勒索软件缓解的关键控制。它的正确上线流程是先切到审计模式观察一段时间，看清哪些程序会被拦，再切到强制模式；同时必须把业务数据目录显式加进保护列表，默认保护集并不包含它们。
基本信息
| 适用平台 | Windows 10 / 11 与 Server 2019 及以上 |
|---|---|
| 基线值 | EnableControlledFolderAccess = 1（启用） |
| 风险等级 | 高 |
| 依赖组件 | Microsoft Defender 防病毒 |
| 相关参数 | 受保护文件夹与允许应用列表 |
典型使用场景
- 勒索软件防护中的写入阻断控制
- 文件服务器与共享目录的防护
- 新部署终端的安全基线配置
- 排查某个程序无法写入数据目录的原因
- 上线前的审计模式观察与兼容性评估
- 与备份策略配合构成勒索防护组合
核查与切换
核查与切换
Get-MpPreference | Select-Object EnableControlledFolderAccess, ControlledFolderAccessProtectedFolders, ControlledFolderAccessAllowedApplications # 查看状态与两个列表
Set-MpPreference -EnableControlledFolderAccess AuditMode # 先切审计模式观察
Add-MpPreference -ControlledFolderAccessProtectedFolders 'D:\data' # 把业务数据目录纳入保护
Set-MpPreference -EnableControlledFolderAccess Enabled # 观察期结束后切强制状态取值
| 取值 | 含义 | 注意点 |
|---|---|---|
| 0（Disabled） | 功能关闭 | 没有任何写入阻断 |
| 1（Enabled） | 强制拦截未授权写入 | 推荐的终态 |
| 2（AuditMode） | 只记录不拦截 | 上线观察期使用 |
| 受保护文件夹 | 实际纳入保护的目录 | 业务数据盘需显式加入 |
| 允许应用 | 可写入保护目录的程序 | 等于发通行证，需定期复核 |
默认保护集不包含服务器上的业务数据盘：必须用命令把数据目录显式加入，否则保护范围形同虚设。
允许应用列表要定期复核：把某个程序列入白名单，等于给它写入保护目录的通行证，范围越窄越好。
文件服务器这类高频写入场景，上线前先做性能与兼容性评估，避免大文件写入被误拦影响业务。