Windows服务器上的SMB协议（Server Message Block）是文件共享的核心协议，但默认配置下数据传输是明文的，任何人只要能抓到网络包就能看到文件内容。要解决这个问题，你需要做两件事：第一，启用SMB加密，让传输的数据变成密文；第二，开启文件共享审计，记录谁在什么时间访问了什么文件。这两步做完，你的文件共享安全性才算真正达标。下面我从配置方法、审计策略、常见坑点三个维度，把整个流程拆开讲清楚。

一、SMB加密到底是什么，为什么必须开

SMB协议从SMBv1发展到SMBv3，安全性差距巨大。SMBv1是上世纪90年代的产物，存在严重漏洞，比如2017年的WannaCry勒索病毒就是利用SMBv1的漏洞传播的。SMBv2和SMBv3引入了加密机制，其中SMBv3支持AES-128-GCM或AES-256-GCM加密，能在传输层面对数据进行保护。

启用SMB加密的前提是你的服务器和客户端都支持SMBv3。Windows Server 2012及以上版本、Windows 10及以上客户端都默认支持。如果你还在用Windows Server 2008 R2或者Windows 7，那基本上没法用SMBv3加密，建议直接升级系统。

二、启用SMB加密的具体操作步骤

第一步，确认SMBv1已经禁用。打开PowerShell，以管理员身份运行以下命令：

Set-SmbServerConfiguration -EnableSMB1Protocol $false -Force

这条命令会直接关掉SMBv1。如果你的服务器上还有老旧设备依赖SMBv1，那就不能一刀切，需要逐步迁移。但从安全角度，SMBv1必须关。

第二步，启用SMBv3加密。继续在PowerShell中执行：

Set-SmbServerConfiguration -EncryptData $true -Force

这条命令会强制服务器要求所有SMB连接使用加密。如果客户端不支持加密，连接会被拒绝。这是好事，说明不安全的客户端被挡在了外面。

第三步，验证配置是否生效。运行以下命令查看当前SMB服务器的加密状态：

Get-SmbServerConfiguration | Select-Object EnableSMB1Protocol, EncryptData, RequireSecuritySignature

你应该看到EnableSMB1Protocol为False，EncryptData为True。如果RequireSecuritySignature也是True，那就更好了，这意味着服务器还要求对SMB数据包进行数字签名，防止中间人篡改。

第四步，针对特定共享文件夹单独设置加密要求。有时候你不想对所有共享都强制加密，可以针对具体文件夹操作。右键点击共享文件夹，选择"属性"，在"共享"选项卡中点击"高级共享"，勾选"加密数据访问"。这样只有访问这个特定共享时才强制加密，其他共享保持灵活配置。

三、文件共享审计的完整配置方案

光加密传输还不够，你还得知道谁动了你的文件。Windows通过"高级审核策略"和"文件系统审计"两层机制来实现文件共享审计。

第一层：启用审核策略。打开"本地安全策略"（secpol.msc），进入"本地策略"→"审核策略"，把以下几项设置为"成功"和"失败"都审核：

- 审核对象访问：成功、失败

- 审核登录事件：成功、失败

- 审核策略更改：成功、失败

- 审核特权使用：成功、失败

- 审核系统事件：成功、失败

或者用PowerShell一条命令搞定：

auditpol /set /subcategory:"Object Access" /success:enable /failure:enable
auditpol /set /subcategory:"Logon/Logoff" /success:enable /failure:enable
auditpol /set /subcategory:"Policy Change" /success:enable /failure:enable
auditpol /set /subcategory:"Privilege Use" /success:enable /failure:enable
auditpol /set /subcategory:"System" /success:enable /failure:enable

第二层：对共享文件夹设置文件系统审计。右键点击你要审计的共享文件夹，选择"属性"→"安全"→"高级"→"审核"选项卡。点击"添加"，输入"Everyone"（或者指定具体用户组），然后勾选你要记录的操作类型，包括：

- 读取数据/列出文件夹

- 写入数据/创建文件

- 删除子文件夹及文件

- 更改权限

- 取得所有权

建议至少勾选前三项，这样文件的读取、修改、删除都会被记录。如果你的共享文件夹里有敏感数据，建议全部勾选。

第三层：查看审计日志。所有记录都会写入Windows事件查看器（eventvwr.msc），路径是"Windows日志"→"安全"。事件ID 4663表示有人访问了文件，事件ID 4660表示文件被删除，事件ID 4670表示权限被修改。你可以通过筛选这些事件ID快速定位关键操作。

四、用PowerShell批量配置审计的高级技巧

如果你管理多台服务器，手动一台台配太慢。可以用PowerShell批量设置。下面这段脚本可以对指定路径的文件夹启用完整审计：

$path = "D:\SharedData"
$acl = Get-Acl $path
$auditRule = New-Object System.Security.AccessControl.FileSystemAuditRule(
    "Everyone",
    "ReadData,WriteData,AppendData,Delete,ChangePermissions",
    "ContainerInherit,ObjectInherit",
    "None",
    "Success,Failure"
)
$acl.SetAuditRule($auditRule)
Set-Acl $path $acl

这段脚本会对D:\SharedData文件夹及其子文件夹和文件，记录所有人的读写删除和权限修改操作，成功和失败都记录。生产环境中建议把"Everyone"换成具体的用户组，比如"Domain Users"。

五、SMB加密与审计的常见坑点和解决办法

坑点一：启用SMB加密后，某些老旧NAS设备或打印机无法访问共享。这是因为这些设备只支持SMBv1或不支持加密。解决办法是在服务器上单独为这些设备创建一个不强制加密的共享，但必须把它们隔离在独立的网段，不能和核心业务数据混在一起。

坑点二：审计日志量太大，硬盘撑不住。文件共享审计如果不加筛选，每天可能产生几十万条日志。建议定期清理旧日志，或者用事件转发（Event Forwarding）把日志集中到一台日志服务器上做归档分析。也可以在审核策略里只对关键文件夹开启审计，不要全盘审计。

坑点三：RequireSecuritySignature设置为True后，某些Linux客户端连不上。Linux的SMB客户端（如cifs-utils）对签名的支持不如Windows原生客户端好。如果你有Linux客户端访问需求，可以把RequireSecuritySignature设为False，但EncryptData保持True，这样至少保证了加密传输，只是不强制签名。

坑点四：域环境下的组策略冲突。如果你的服务器加入了域，域组策略可能会覆盖本地设置。用gpresult /h report.html生成策略报告，检查是否有冲突的策略项。如果有，需要在域控上统一调整，或者在本地用"阻止继承"来保护关键配置。

六、进阶建议：结合其他安全措施形成纵深防御

SMB加密和审计只是文件共享安全的基础层。要真正做到高安全等级，还需要配合以下措施：

第一，启用SMB签名（RequireSecuritySignature = True），防止数据包被篡改。加密只管保密，签名管完整性，两者缺一不可。

第二，使用IPsec对SMB流量做网络层加密。如果你的环境对安全性要求极高，可以在Windows防火墙中配置IPsec规则，对445端口（SMB端口）的流量强制加密。这样即使SMB层的加密被绕过，网络层还有一层保护。

第三，定期审查审计日志。不要配完就不管了，建议每周至少检查一次安全日志，重点关注非工作时间的访问、大量文件删除操作、权限异常变更等。可以用PowerShell写个简单的监控脚本，自动筛选异常事件并发送告警邮件。

第四，对共享文件夹做权限最小化。不要给"Everyone"完全控制权限，按照最小权限原则分配。财务文件夹只给财务组，研发代码只给开发组，普通共享给域用户只给读取权限。权限控制做好了，即使有人突破了SMB加密，能看到的东西也有限。

第五，保持系统补丁更新。SMB协议的安全漏洞会随着新漏洞的发现不断出现，微软每个月都会发布安全更新。启用Windows Update自动更新，或者用WSUS统一管理补丁分发，确保服务器始终运行最新版本。

七、总结：一张表看清关键配置

把核心操作汇总一下，方便你快速对照执行：禁用SMBv1用Set-SmbServerConfiguration -EnableSMB1Protocol $false；启用SMB加密用Set-SmbServerConfiguration -EncryptData $true；要求签名用Set-SmbServerConfiguration -RequireSecuritySignature $true；开启审计用auditpol命令或本地安全策略；文件夹审计用高级安全设置添加审核规则。这五步做完，你的Windows服务器文件共享就从"裸奔"状态升级到了有加密、有审计、有防护的安全状态。

最后提醒一点，安全配置不是一劳永逸的事。网络环境在变，威胁在进化，你的策略也要跟着调整。建议每季度做一次安全配置复查，确保没有被意外修改或策略漂移。把安全当成持续运营的事，而不是一次性工程，才是真正的安全思维。