NTFS权限本身不能直接防勒索软件，但通过正确配置所有权、禁用继承、最小化授权及显式拒绝写入，并配合受控文件夹访问（CFA），可大幅降低勒索软件加密或删除文件的概率。

ntfs 权限本身不能直接“防勒索软件”，但它能从访问控制层面大幅降低勒索软件成功加密或删除文件的概率——前提是配置得当。勒索软件通常以当前登录用户权限运行，若该用户对敏感文件夹只有读取权，它就无法写入、加密或删改内容。关键不是单纯设“只读”，而是构建一套最小权限+所有权+继承控制的组合策略。

先确保你有修改权限：获取文件夹所有权

很多敏感文件夹（比如公司财务目录、项目源码库）默认所有者是 TrustedInstaller 或 SYSTEM，即使你是管理员，“安全”选项卡里的编辑按钮也可能是灰色的。不解决所有权，后续所有设置都无效。

• 右键文件夹 → 属性 → 安全 → 高级 → 在“所有者”右侧点“更改”
• 输入你的账户名（如 DOMAIN\YourName 或本地 Administrator），点击检查名称 → 确定
• 勾选“替换子容器和对象的所有者”，点击应用
• 完成后关闭窗口，再重新打开属性 → 安全 → 编辑，这时就能正常修改权限了

切断继承，清除不可控权限

默认情况下，文件夹会继承上级（如 C:\Users\John\Documents）的宽松权限，例如 Users 组拥有“修改”权。勒索软件一旦拿到普通用户令牌，就能顺着这个路径破坏。必须主动断开。

• 在高级安全设置中点击“禁用继承”
• 选择“从此对象中删除所有已继承的权限”
• 此时权限列表清空，你才真正开始“从零建规则”
• 接着添加你信任的账户（如你的账号、BackupAdmin 组），仅赋予读取和执行 + 列出文件夹内容 + 读取
• 绝对不要勾选“写入”“修改”“删除”“完全控制”给非运维人员

用拒绝权限堵住绕过漏洞

允许权限可被继承或组策略覆盖，但“拒绝”具有最高优先级。针对高风险场景，可显式拒绝特定主体的写入行为。

• 在安全选项卡点击“编辑”→“添加”→ 输入 Everyone 或 Users
• 在下方权限框中，勾选“拒绝”列下的：写入、修改、删除、删除子文件夹及文件
• 注意：拒绝写入 ≠ 拒绝读取；用户仍能看到文件名列表，但无法加密或覆盖
• 此操作与上一步的“仅允许你本人读取”叠加后，效果更稳

配合受控文件夹访问（CFA）形成行为层防线

NTFS 权限管的是“谁可以访问”，CFA 管的是“哪个程序能操作”。两者互补：即使勒索软件通过提权拿到了管理员令牌，只要没被加入 CFA 白名单，它尝试加密受保护文件夹时就会被实时拦截并弹通知。

• 打开 Windows 安全中心 → 病毒和威胁防护 → 管理勒索软件防护
• 开启“受控文件夹访问”，系统会默认保护文档、图片等常见位置
• 点击“添加受保护的文件夹”，把刚才用 NTFS 锁定的敏感路径加进去
• 如业务软件（如用友、金蝶）被误拦，再进“允许的应用程序”手动添加其主程序路径（如 C:\U8SOFT\U8Client.exe）