应禁用SMB 1.0、启用SMB 3.1.1，分设共享与NTFS权限，确保Server、Workstation及fdrespub服务自动启动，并使用专用低权限账户替代密码保护共享关闭。
windows 文件共享服务本身不是不安全，而是默认配置和常见用法容易暴露风险。它能否稳定运行，关键不在协议本身，而在于你是否关闭了老旧通道、收紧了权限边界、并让底层服务各司其职。
必须禁用 SMB 1.0，优先启用 SMB 3.1.1
SMB 1.0 存在严重漏洞（如永恒之蓝），微软已明确弃用。即使为兼容旧设备临时开启，也会显著降低整体安全性。现代 Windows（10/11/Server 2016+）默认支持 SMB 3.x，其中 3.1.1 是当前最稳妥的选择：
- 强制启用预身份验证完整性，防御中间人劫持连接过程
- 使用 AES-128-GCM 加密算法，兼顾性能与防护强度
- 无需额外配置即可实现端到端传输加密（尤其适用于跨网段或无线环境）
禁用命令（管理员 PowerShell）：
Disable-WindowsOptionalFeature -Online -FeatureName smb1protocol -NoRestart
权限要分两层设：共享权限 + NTFS 权限
很多人只设共享权限，结果一开“Everyone 完全控制”，就等于把大门钥匙挂在门把手上。Windows 实际采用“最小交集”原则：用户最终权限 = 共享权限 ∩ NTFS 权限。
- 共享权限建议只设基础粒度：读取 / 更改 / 完全控制，并仅授予必要组（如 Domain\Finance-Team）
- NTFS 权限负责精细控制：可单独设置“创建文件夹/附加数据”“删除子文件夹及文件”“更改所有者”等
- 务必取消继承、清理冗余条目，避免权限叠加导致越权
三个服务缺一不可，且必须设为自动启动
共享不是点几下鼠标就完事，背后是三类系统服务协同支撑：
- Server（LanmanServer）：对外提供共享资源，停用则别人看不到你的任何共享
- Workstation（LanmanWorkstation）：对内访问他人共享，停用则你连不上任何网络路径
- Function Discovery Resource Publication：让本机出现在“网络”视图中，家庭/小型办公环境尤为关键
检查与修复命令（管理员 CMD）：
sc config LanmanServer start= auto && sc config LanmanWorkstation start= auto && sc config fdrespub start= auto
net start LanmanServer && net start LanmanWorkstation && net start fdrespub
绕过密码保护共享的隐患，用专用账户替代
为图省事关闭“密码保护共享”，等于开放 Guest 账户——它默认被禁用，但一旦启用，权限策略极易失控。更稳妥的做法是：
- 保持“密码保护共享”开启（高级共享设置中勾选）
- 为共享场景新建低权限本地账户（如 share-finance），不加入 Administrators 组
- 在共享权限和 NTFS 权限中明确授予该账户或对应组，而非依赖 Everyone 或 Users
- 定期审查账户登录日志（通过事件查看器 → Windows 日志 → 安全日志，筛选事件 ID 4624）
