局域網共享檔案安全管理三部曲
共享資料夾是企業協作核心，但管理不當極易造成資料外洩、惡意竄改、病毒傳播。本文提供從監控、權限到架構的三層防護策略。
一、 即時掌握「誰在存取我的共享」
Windows 內建工具：電腦管理 → 共享資料夾
- Win+R →
compmgmt.msc 或「控制台」→「管理工具」→「電腦管理」。
- 展開「系統工具」→「共享資料夾」。
- 工作階段： 顯示目前連線的用戶/電腦、閒置時間、開啟檔案數。可右鍵「關閉工作階段」踢出特定使用者。
- 開啟的檔案： 顯示每個共享檔案被誰開啟、開啟模式（讀/寫）、鎖定狀態。同樣可右鍵「關閉開啟的檔案」釋放鎖定。
實用場景
- 關機前確認無人使用共享資料，避免資料損毀。
- XP/Win7 連線數限制（10/20）達上限時，踢出非必要連線釋放名額。
- 發現可疑 IP/帳號存取機密資料夾，即時中斷並審計。
二、 坚持「預設唯讀，按需授權讀寫」原則
可讀寫共享的三大風險
- 病毒/勒索軟體傳播跳板： 受感染電腦寫入加密/感染檔案 → 其他用戶開啟中招。
- 惡意/誤操作竄改難追究： 即使有稽核日誌，難以確切還原「哪個鍵被按下、哪段內容被覆蓋」。
- 版本衝突導致資料不一致： 多部門同時編輯同一檔案（如考勤表），無鎖定機制下極易覆蓋遺失。
實作建議
- 共享資料夾權限設「讀取」；NTFS 權限同步設「讀取/執行」。
- 需上傳/修改的場景：建立專用「上傳資料夾」授予「寫入/列出資料夾內容」，定期由管理員審核後移至正式唯讀區。
- Office 檔案善用「共用活頁簿」或 OneDrive/SharePoint 共同編輯，取代傳統檔案鎖定。
三、 建立集中式檔案伺服器，統一權限、備份與存取控制
分散式管理痛點
- 使用者權限設定參差不齊，甚至全開放 Everyone 完全控制。
- 無集中備份，硬碟故障/勒索軟體/誤刪導致資料永久遺失。
- 人員異動時權限回收遺漏，離職員工仍保留存取權。
檔案伺服器部署效益
| 面向 | 分散式 | 集中式檔案伺服器 |
|---|
| 備份 | 靠自覺，幾乎無 | 排程快照/異地複寫，RPO/RTO 可控 |
| 權限管理 | 各自為政，難統一 | 依部門/角色預設 ACL，檔案繼承父資料夾權限 |
| 存取稽核 | 極難關聯 | 集中日誌，關聯使用者/檔案/操作/時間 |
| 異動復原 | 幾乎不可能 | 影子複製/版本歷程/備份還原，分鐘級復原 |
| 合規呈報 | 無法產出證據 | 完整稽核軌跡，滿足 ISO 27001、GDPR 等要求 |
實施路徑
- 採購 NAS 或專用檔案伺服器（RAID 1/5/6/10、ECC 記憶體、雙電源）。
- 規劃資料夾結構：
\\FS\Public（全員讀）、\\FS\Dept\HR（HR 讀寫/其他讀）、\\FS\Project\P2024（專案組讀寫）…
- 透過群組（AD 安全性群組）授權，避免直接指定使用者。
- 啟用 VSS（磁碟陰影複製服務）每日多次快照，使用者可自行還原誤刪檔案。
- 配合 DLP/資料分類標籤，敏感資料自動加密/阻擋外傳。