共享是数据外泄的常见通道
Windows 共享常因“临时开一下就忘了关”而长期存在，成为数据外泄与勒索加密的主要入口。常态动作是定期导出共享清单，核对每个共享的路径、用途与授权，敏感目录不得给 Everyone 可读或完全控制。权限判定要同时看共享权限与 NTFS 权限：最终生效的是两者的交集，也就是更严格的一侧，只看一层会得出错误结论。
基本信息
| 适用平台 | Windows Server / Windows 10、11 |
|---|---|
| 清单命令 | Get-SmbShare、Get-SmbShareAccess、net share |
| 权限两层 | 共享权限（Share）与 NTFS 权限（ACL） |
| 基线 | 无多余共享、授权最小、敏感目录禁止 Everyone |
| 风险等级 | 中 |
典型使用场景
- 例行巡检：导出共享清单与上次基线比对，发现新增共享
- 权限审计：过滤出 Everyone 完全控制等高危授权
- 应急响应：勒索事件中确认可写入的共享范围
- 业务交付：文件服务器上线前逐条确认访问矩阵
- 清理归档：识别已无业务用途但仍在共享的目录
清单与权限核查
清单与权限核查
Get-SmbShare | Select-Object Name, Path, Description, ConcurrentUserLimit
Get-SmbShareAccess -Name 'Data' | Select-Object AccountName, AccessRight, AccessControlType
net share # 老系统上的等价命令
Get-SmbServerConfiguration | Select-Object EnableSMB1Protocol, RequireSecuritySignature, EncryptData
Get-ChildItem 'D:\Data' | Get-Acl | Select-Object Path, AccessToString | Select-Object -First 5授权与配置读法
| 项 | 含义 | 正常与异常 |
|---|---|---|
| AccessRight | 共享层授权级别（Full/Change/Read） | Everyone 为 Full 属高危 |
| AccessControlType | 允许或拒绝 | 拒绝优先于允许，注意叠加效果 |
| EnableSMB1Protocol | 是否启用 SMB1 | True 表示存在老旧协议风险 |
| RequireSecuritySignature | 是否强制签名 | False 时易受中继攻击 |
| EncryptData | 是否加密 SMB 流量 | 敏感数据共享建议开启 |
共享权限与 NTFS 权限是两层：审计以更严格的交集为准，两层都要看，任何一层过宽都不代表可访问。
落地要点
- 导出清单后用脚本过滤 Everyone 与 Full 授权项，先处理高危再处理一般
- 管理共享（C$、ADMIN$、IPC$）属系统默认，巡检脚本应排除以免误报
- 新增共享走变更流程，登记用途、责任人与复核时间
- 权限变更后实测：用普通账号访问一次，验证是否与设计一致
- 把共享清单与访问日志一起纳入季度评审
共享目录若允许普通用户写入，一旦终端沦陷就可能被勒索加密并横向扩散：可写共享应尽量收紧并配合快照备份。