SMB 服务暴露与加固

SMB（445）是横向移动与勒索软件传播的高频通道；未限制来源、保留 SMBv1、Guest 可用或签名未启用都会放大风险。

加固要点

1. 关闭 SMBv1，评估并逐步淘汰依赖
2. 启用 SMB 签名（服务器与客户端）
3. 禁止 Guest 访问共享；共享权限最小化
4. 445 不暴露公网；内网按业务网段限制
5. 及时安装 SMB 相关安全更新

Get-SmbServerConfiguration | Select EnableSMB1Protocol, RequireSecuritySignature
Get-SmbShare | Select Name, Path
# 输出可用于核对共享列表与签名状态

Windows 默认管理共享（C$、ADMIN$）用于管理，应结合环境评估其可达范围。

‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌