Windows文件共享安全加固需四步闭环：权限收紧（NTFS与共享权限协同、最小化授权）、协议升级（禁用SMB1、启用SMB3.1.1端到端加密）、入口收敛（隐藏共享、限制匿名访问）、行为可溯（开启对象审核与SMB日志）。

windows 文件共享系统安全加固，核心在于“权限收紧、协议升级、访问可控、行为可溯”。默认配置偏重易用性，直接暴露在内网中极易成为横向移动跳板。真正有效的加固不是堆砌功能，而是让每层控制都形成逻辑闭环。

NTFS 与共享权限必须协同生效

很多管理员只调 NTFS 权限，却把共享权限设为 Everyone 完全控制——这等于拆掉了第一道门锁。系统对网络访问会先验共享权限，再验 NTFS 权限，最终取二者交集。若共享层放行过度，NTFS 层一处继承未清理就可能造成越权。

• 共享权限只授予最小必要组，例如 Domain_CompanyData_Read（仅读）或 Domain_Finance_Write（部门写入组）
• NTFS 权限需取消继承并手动配置，根目录拒绝 Domain Users 写入，子目录按部门单独授权
• 禁用 Everyone 和 Guests 组在共享与 NTFS 两层的任何权限

强制启用 SMB 加密与协议版本控制

SMB 1.0 已被永恒之蓝等漏洞反复利用，而未加密的 SMB 2/3 流量在交换机镜像或中间人环境下可被明文捕获。Windows Server 2019 及以上默认支持 SMB 3.1.1，必须启用端到端加密。

• 用 PowerShell 禁用 SMB1：Set-SmbServerConfiguration -EnableSMB1Protocol $false -Force
• 启用服务器级 SMB 加密：Set-SmbServerConfiguration -EncryptData $true -Force
• 通过组策略强制客户端使用 AES-128-GCM：路径为「计算机配置 → 管理模板 → 网络 → Lanman 工作站 → 配置 SMB 加密算法」

隐藏共享与访问入口收敛

共享名后加 $（如 Finance$）可实现网络邻居不可见，但不等于安全。真正的收敛还需配合访问控制与端口管理。

• 所有业务共享均使用隐藏共享命名，避免在“网络”中被枚举发现
• 关闭 TCP 445 端口的匿名访问：注册表键 HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\LanmanServer\Parameters 下新建 DWORD 值 RestrictNullSessionAccess，设为 1
• 限制“从网络访问此计算机”用户组，仅保留业务必需的域安全组，禁用 Guest 和 Anonymous Logon

审计与异常行为监控不可缺位

权限和加密是防御，审计是威慑与溯源。没有日志的加固如同无眼之盾。

• 启用对象访问审核：组策略中开启「审核对象访问」，并在共享文件夹属性 → 安全 → 高级 → 审核中添加关键组（如 Domain Admins、Finance 组）的“成功+失败”读写操作
• 将 SMB 日志级别调高：注册表 HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\LanmanServer\Parameters 下设置 EnableSecuritySignature 为 1，RequireSecuritySignature 为 1
• 定期导出并分析 Windows 日志中的事件 ID 5145（共享访问）、4662（对象操作）、5379（凭据管理）