為什麼要禁止 LAN 共享存取？

• 資料外洩風險：機密文件、原始碼、財報被同事/外來裝置竊取
• 惡意軟體橫向移動：勒索軟體利用開放共享 (SMB) 傳播全網 (如 WannaCry、NotPetya)
• 頻寬濫用：大量複製影音檔塞滿上行頻寬
• 合規要求：ISO 27001、GDPR、個資法要求最小權限原則

方案一：Windows 原生設定 (零成本、單機生效)

1. 停止共享特定資料夾

檔案總管 → 右鍵資料夾 → 內容 → 共用 → 進階共用 → 取消勾選「共用這個資料夾」 → 確定。

2. 關閉「檔案和印表機共用」服務 (全機生效)

• services.msc → Server (伺服器) → 停用並設為「手動」或「停用」
• 或：控制台 → 網路和共用中心 → 進階共用設定 → 所有網路 → 關閉檔案和印表機共用

3. 斷開現有連線 (立即生效)

電腦管理 (compmgmt.msc) → 共用資料夾 → 工作階段/開啟的檔案 → 右鍵「中斷所有使用者連線 / 關閉開啟的檔案」。

4. 為共享資料夾加密碼 (若必須保留共享)

進階共用 → 權限 → 移除 Everyone → 新增特定使用者 → 設定讀取/讀寫權限 → 該使用者必須有強密碼。
⚠️ 設定後必須執行步驟 3 斷開現有連線，密碼才會生效。

方案二：群組原則 (GPO) 批量管控 (網域環境必備)

GPO 路徑：
電腦設定 → 系統管理範本 → 網路 → Lanman Server
  → 「移除共用資源的存取權」: 啟用
  → 「限制匿名存取共用資料夾」: 啟用

電腦設定 → Windows 設定 → 安全性設定 → 本機原則 → 安全性選項
  → 「網路存取: 禁止匿名列舉 SAM 帳戶」: 已啟用
  → 「網路存取: 禁止匿名列舉 SAM 帳戶和共用資料夾」: 已啟用
  → 「網路存取: 允許匿名 SID/名稱轉換」: 已停用

連結到 OU → `gpupdate /force` → 全網生效。

方案三：防火牆封鎖 SMB 埠 (網路層隔離)

# Windows Defender 防火牆 - 高安全性 - 輸出規則 - 新規則
# 封鎖 SMB 通訊埠 (TCP 445, 139; UDP 137, 138)
# 適用：完全禁止本機作為 SMB Client/Server 通訊

或於邊界防火牆/核心交換器 ACL 封鎖 VLAN 間 SMB 流量，實現區域網路微隔離。

方案四：專業區域網路存取控制軟體 (企業級、集中管控)

文中提及的「大勢至內網安全衛士」屬於此類產品，典型功能：

• 準入控制：802.1X / DHCP Snooping / ARP 檢測 — 未授權裝置無法取得 IP/通訊
• 共享存取控制：依帳號/部門/時間/裝置標籤精細授權「可讀/可寫/可列舉/可刪除」
• 外來裝置隔離：偵測非公司資產 (手機、個人筆電) → 自動導向訪客 VLAN/封鎖
• 資料防洩漏 (DLP)：敏感關鍵字/正則匹配、截圖/列印/USB/郵件/雲端上傳管控
• 行為審計：檔案操作全紀錄 (建立/讀取/修改/刪除/重命名/複製)、影片回放
• 網路行為管理：封鎖 P2P/影音/遊戲/代理/VPN、流量配額、上網時段
• 弱點掃描/補丁下發：掃描 CVE、自動推送修補程式

方案比較與選型建議

方案	成本	部署難度	管控粒度	適用規模	缺點
Windows 原生	0	低	粗 (全開/全關/單資料夾)	單機/工作群組	無集中管理、易被本機管理員繞過
GPO	0 (需 AD)	中	中 (OU 層級)	網域環境	需 AD 架構、非 Windows 裝置無效
防火牆/交換器 ACL	設備成本	高	粗 (埠/網段)	全網	無法感知應用層語意、維護複雜
專業 NAC/DLP 軟體	授權費	中高	細 (人/裝置/時間/內容/行為)	50+ 節點企業	成本高、需專人維運

實施路徑建議

1. 立即：關閉不必要共享、加強密碼、啟用防火牆封鎖 445 埠
2. 一週內：推廣 GPO 統一關閉 Server 服務、限制匿名列舉
3. 一個月內：評估引入 NAC/DLP 系統、規劃 VLAN 微隔離
4. 持續：定期稽核共享權限、異常存取告警、員工資安教育

結語

「禁止區域網路共享」不是單一動作，而是 主機加固 + 網路微隔離 + 身分準入 + 內容感知 + 持續審計 的纵深防禦體系。小團隊用原生設定+GPO 即可大幅降低風險；企業環境則需投入專業 NAC/DLP 系統，實現「誰、在什麼時間、用什麼裝置、存取什麼資料、做了什麼操作」的全可視、全可控。資料不外洩，業務才能安心跑！