Win7 透過群組原則強化共享資料夾安全性實作指南

在區域網路環境中，共享資料夾若設定不當，極易遭未授權存取或列舉帳號資訊。本文說明如何利用本機群組原則（gpedit.msc）實作三層防護，大幅提升共享安全性。

一、關閉 SAM 帳號與共享的匿名列舉

1. 按 Win+R 輸入 gpedit.msc 開啟群組原則編輯器。
2. 依序展開：電腦設定 → Windows 設定 → 安全性設定 → 本機原則 → 安全性選項。
3. 找到「網路存取：不允許 SAM 帳號和共享的匿名列舉」，雙擊選擇「已啟用」，按確定。

啟用後，未經驗證的使用者無法透過 Null Session 列舉共享資料夾清單與本機帳號名稱。

二、禁止匿名 SID/名稱轉換

1. 同樣在「安全性選項」中，找到「網路存取：允許匿名 SID/名稱轉換」。
2. 雙擊選擇「已停用」，按確定。

此設定防止攻擊者利用匿名連線將 SID 解析為使用者名稱，進一步掌握帳號結構。

三、限制「從網路存取這台電腦」與「拒絕從網路存取這台電腦」

1. 在群組原則中展開：電腦設定 → Windows 設定 → 安全性設定 → 本機原則 → 使用者權限指派。

2. 從網路存取這台電腦：移除 Everyone、Guest 等低權限群組，僅保留需遠端存取的特定帳號/群組（如 Administrators、Backup Operators、自訂共享存取群組）。
3. 拒絕從網路存取這台電腦：加入 Guest、Anonymous Logon 及所有不需網路存取的帳號，實施最小權限原則。

完成上述三階段設定並重新開機後，共享資料夾將僅允許經明確授權的帳號透過網路存取，有效阻擋匿名掃描與橫向移動攻擊。