Windows 强制网络共享凭据强加密需三层面协同：禁用 SMBv1 并锁定 SMBv2/v3；启用 NTLM 会话级 128 位加密（Lanman 工作站/服务器策略）；关闭不安全来宾登录、删除 Everyone 权限；可选启用 SMB 签名与 AES-128-GCM 加密。
windows 要强制对网络共享凭据的传输过程实施强加密认证，关键不是只设个密码框，而是从协议层、会话层和认证层三方面收紧——重点是禁用弱协议、启用强会话加密、关闭不安全的来宾访问，并确保客户端与服务器双向协商高强度加密。
禁用 SMBv1 并锁定 SMBv2/v3 协议
SMBv1 是凭据泄露高发通道（如 EternalBlue 利用 NTLMv1 哈希中继），必须彻底关闭：
- 以管理员身份运行 PowerShell，执行：
Set-SmbServerConfiguration -EnableSMB1Protocol $false -Force - 验证结果：
Get-SmbServerConfiguration | Select EnableSMB1Protocol, EnableSMB2Protocol, EnableSMB3Protocol —— 确保仅 SMBv2/v3 为 True - 客户端侧同步检查（尤其 Win10/Win11）：
Get-SmbClientConfiguration | fl EnableSMB2Protocol, EnableSMB3Protocol
启用 NTLM 会话级 128 位加密（Lanman 工作站策略）
该设置作用于 NTLM 认证后的会话密钥封装阶段，使用 RC4-128 加密 SMB 凭据交换及后续通信：
- 打开组策略编辑器（gpedit.msc）→ 计算机配置 → 管理模板 → 网络 → Lanman 工作站
- 启用「最小会话安全性」策略，勾选：
✔ 将加密级别设置为 128 位
✔ 启用会话安全性（即强制签名+加密） - 同步配置服务器端：同路径下进入「Lanman 服务器」→ 启用对应策略，否则连接会被拒绝
关闭不安全的来宾登录并启用严格认证
防止匿名或空会话绕过凭据校验，杜绝默认 Everyone 权限滥用：
- 组策略路径：计算机配置 → 管理模板 → 网络 → Lanman 服务器 → 「禁用不安全的来宾登录」→ 设为「已启用」
- 网络和共享中心 → 高级共享设置 → 「所有网络」下 → 关闭「启用文件和打印机共享」旁的「启用共享以便每个人都可以读取」选项
- 确保共享权限中已删除 Everyone，且 NTFS 权限未继承宽松规则（例如 Domain Users 不应默认拥有写入权）
可选但推荐：启用 SMB 签名与端到端加密
对高敏感共享（如财务、HR 数据），叠加协议层防护：
- 服务器端强制签名：
Set-SmbServerConfiguration -RequireSecuritySignature $true -EnableSecuritySignature $true - 启用 SMB 3.x 加密（AES-128-GCM）：
Set-SmbShare -Name "SecureShare" -EncryptData $true - 客户端全局强制加密（Win11 24H2 / Server 2025+）：
组策略 → 计算机配置 → 管理模板 → 网络 → Lanman 工作站 → 「要求对所有出站 SMB 连接进行加密」→ 启用
