Windows文件共享安全的关键是精准控制访问权限而非完全禁用匿名访问，需限制空会话、禁用Guest账户、删除Everyone权限、强制凭据验证、收紧认证协议，并按需最小化开放特定共享与管道。
windows 文件共享本身支持匿名访问机制，但直接放行未经身份验证的连接会带来明显风险——比如攻击者可枚举用户列表、发现共享资源、尝试暴力破解或发起中间人攻击。要兼顾局域网便利性与安全性，关键不是“完全禁用匿名”，而是**精准控制谁能在什么条件下以何种方式访问什么资源**。
关闭默认空会话入口
IPC$ 共享是 Windows 建立命名管道通信的基础，默认允许空会话（null session）连接。即使不开放文件共享，它也可能被用于探测系统信息。应主动限制其暴露面：
- 启用策略“网络访问：限制对命名管道和共享的匿名访问”，位置在：本地策略 → 安全选项；默认已启用，确认其状态为“已启用”
- 检查注册表项
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\LanManServer\Parameters中RestrictNullSessAccess值是否为 1 - 确保“网络访问：不允许 SAM 帐户和共享的匿名枚举”设为“已启用”，防止攻击者通过空会话获取用户名、共享名等敏感信息
禁用 Guest 账户并移除 Everyone 权限
Guest 账户是匿名访问最常映射的目标，一旦启用且密码为空，就等于为未授权访问敞开后门：
- 在“计算机管理 → 本地用户和组 → 用户”中，右键 Guest → 属性 → 勾选“账户已禁用”
- 在共享权限和 NTFS 权限中，删除 Everyone 组；改用明确命名的用户或组（如“ShareUsers”），并仅授予最小必要权限（如仅读取）
- 禁用策略“网络访问：让 Everyone 权限应用于匿名用户”，避免空会话意外继承 Everyone 权限
强制凭据验证并收紧认证协议
即使在同一局域网，也应要求有效身份凭证，而非依赖网络位置信任：
Pandas 配置文件报告生成器
下载
使用ydata-profiling（前身为pandas-profiling）生成全面的数据质量报告，包含相关性分析、缺失值模式和基数检测。导出交互式HTML仪表板和JSON摘要。
- 在“高级共享设置”中，开启“密码保护的共享”，这是最基础的身份校验开关
- 通过组策略配置“网络安全：LAN 管理器身份验证级别”，设为“发送 NTLMv2 响应，拒绝 LM & NTLM”，阻止弱协议降级攻击
- 禁用“启用不安全的来宾登录”（Lanman 工作站策略），该选项会绕过 SMB 认证，仅应在封闭测试环境临时启用
按需开放特定管道与共享
若确有应用依赖匿名访问（如某些旧工业设备或嵌入式系统），应严格限定范围，而非全局放开：
- 使用“网络访问：可匿名访问的共享”策略，只填入必需的共享名称（如
Printer$），其余一律拒绝 - 对应设置“网络访问：可匿名访问的命名管道”，仅添加实际需要的管道名（如
spoolss），避免通配符或留空 - 所有开放项必须配合防火墙规则（如 Windows Defender 防火墙入站规则），限制源 IP 段，例如仅允 192.168.1.0/24 访问
真正安全的共享不是靠隐藏或禁用功能实现的，而是把访问控制落到具体账户、具体资源、具体协议层级。每一步配置都应有明确业务依据，而不是为图方便一刀放开。
