硬碟指示燈狂閃、網路指示燈狂閃，卻沒在下載上傳？可能有人正透過網路存取你的共用資料夾、讀取檔案、甚至植入惡意程式。Windows 內建強大的監控工具，無需安裝第三方軟體，即可即時掌握 **誰連進來、開了什麼檔、從哪個 IP 來、連線多久**，並能一鍵斷開可疑連線、關閉檔案、移除共用、設定密碼保護。
Windows 98/Me 時代：網路監視器
※ 現代系統已移除，僅供歷史參考。
- 安裝：控制台 → 新增/移除程式 → Windows 安裝 → 系統工具 → 勾選「網路監視器」。
- 三種檢視模式：
- **按連線**：顯示所有連線使用者、電腦名稱、開啟檔案數、連線時間。
- **按共用資料夾**：顯示已共用資料夾、連線至該資料夾的電腦與開啟檔案。
- **按開啟檔案**：顯示所有被開啟檔案清單及開啟者電腦名。
- 三種阻擋方式：
- 關閉特定檔案 (管理 → 關閉檔案)。
- 斷開特定使用者連線 (管理 → 斷開使用者連線)。
- 停止共用或加密碼保護 (管理 → 停止共用 / 共用資料夾屬性 → 加密碼) → **必須先斷開現有連線密碼才生效**。
Windows 2000 / XP / 7 / 8 / 10 / 11 通用：電腦管理 (compmgmt.msc)
這是現代 Windows 統一的管理主控台，功能遠超舊版網路監視器。
開啟方式
- Win+R →
compmgmt.msc (最快)。
- 右鍵「這台電腦/我的電腦」→「管理」。
- 控制台 → 系統及安全性 → 系統管理工具 → 電腦管理。
核心三大節點：共用資料夾 (Shared Folders)
左側樹狀結構展開「系統工具」→「共用資料夾」：
1. 共用 (Shares)
- 列出所有啟用共用的資料夾：名稱、資料夾路徑、說明、用戶限制、權限 (讀取/變更/完全控制)。
- **右鍵功能**：新增共用、停止共用、內容 (權限/快取/離線設定)、刪除。
- **系統隱藏共用** (以 `$` 結尾)：`C$`、`ADMIN$`、`IPC$`、`PRINT$` — 管理用途，**建議保留但確保強密碼**，非必要勿手動刪除 (可能影響遠端管理/列印)。
2. 工作階段 (Sessions)
- **即時顯示所有連線中使用者**：使用者名稱、電腦名稱、IP 位址、連線時間、閒置時間、開啟檔案數、客戶端類型 (Windows/Linux/macOS/行動裝置)。
- **右鍵功能**：
- **關閉工作階段** → 立即斷開該使用者所有連線 (強制關閉其開啟檔案)。
- **傳送訊息** (若對方也為 Windows 且啟用 Messenger 服務) → 發送警告/通知。
3. 開啟的檔案 (Open Files)
- **逐檔案顯示**：開啟檔案路徑、開啟者使用者/電腦/IP、開啟模式 (讀取/寫入/鎖定)、鎖定計數。
- **右鍵功能**：**關閉開啟的檔案** (單一或全選 → 關閉) → 強制釋放檔案鎖定，解決「檔案正在被使用無法刪除/移動/重命名」難題。
進階：命令列/腳本自動化稽核
net session / net file / net share
# 查看所有工作階段
net session
# 查看所有開啟檔案
net file
# 查看所有共用
net share
# 斷開特定工作階段 (需管理員權限)
net session \\CLIENT_IP /delete
# 關閉特定開啟檔案 (需 ID，由 net file 取得)
net file 12345 /close
PowerShell 進階查詢 (可排程輸出 CSV/JSON 稽核)
# 取得工作階段詳細資訊
Get-SmbSession | Select-Object ClientComputerName, ClientUserName, NumOpens, IdleTime, ConnectTime, TransportName | Format-Table -AutoSize
# 取得開啟檔案詳細資訊
Get-SmbOpenFile | Select-Object FileId, Path, ShareRelativePath, ClientComputerName, ClientUserName, SessionId, Permissions | Format-Table -AutoSize
# 關閉特定工作階段
Close-SmbSession -ClientComputerName "SUSPICIOUS-PC" -Force
# 關閉特定檔案
Close-SmbOpenFile -FileId 12345
事件檢視器稽核：事後追蹤誰動了什麼檔案
- 啟用稽核：`secpol.msc` → 本機原則 → 稽核原則 → **稽核物件存取** → 成功/失敗都勾選。
- 資料夾右鍵 → 內容 → 安全性 → 進階 → 稽核 → 新增 → 主體：Everyone → 類型：所有 → 勾選「寫入/附加」、「刪除」、「變更權限」、「取得所有權」等關鍵動作。
- 事件檢視器 (`eventvwr.msc`) → Windows 記錄 → **安全性** → 事件 ID **4663** (嘗試存取物件)、**4670** (權限變更)、**5140/5145** (網路共用存取)。
- 篩選關鍵字、匯出日誌、SIEM 整合分析。
預防勝於偵測：共用資料夾安全強化清單
- **最小權限原則**：僅授予必要使用者「讀取」或「變更」，避免「完全控制」。
- **移除 Everyone/Guest/匿名存取**：共用權限 + NTFS 權限雙重設定。
- **強制密碼複雜度 + 定期輪換**：群組原則 → 密碼原則。
- **啟用 SMB 加密/簽署** (SMB 3.0+)：PowerShell `Set-SmbServerConfiguration -EncryptData $true -RequireSecuritySignature $true`。
- **停用 SMBv1** (永恆之藍漏洞載體)：「控制台 → 程式集 → 開啟或關閉 Windows 功能」→ 取消勾選「SMB 1.0/CIFS 檔案共用支援」。
- **防火牆限制存取來源 IP/子網**：僅允許信任網段存取 445/139 埠。
- **定期檢視 `net session` / `Get-SmbSession`**，發現異常 IP/帳號立即斷線調查。
掌握這套內建監控體系，你就是自家網路的「守門員」。定期巡視、異常即斷、稽核留痕，讓偷窺者無所遁形！