员工电脑里那个"共享文件夹"，可能是全公司的后门

一、"我就共享了一个文件夹啊"

设计部一位老师傅，为了让组里几个人传图纸方便，在自己电脑上开了个共享文件夹。

权限设的是 Everyone 完全控制，密码——没设。

组里确实方便了。直到排查的人用另一台电脑连上去，发现能访问的是那台机器的整个 D 盘。

盘里有什么？

本组的在制图纸

从档案室拷来的全套历史项目档案

几位客户的验机报告

一份当年投标用的成本测算表

老师傅很委屈："我就共享了一个文件夹啊。"

这话不假。问题是——共享路径配错、或者整块盘被挂出来的时候，他自己也不知道边界在哪。

更普遍的情况是：公司里这类"私人共享"，IT 根本不知道有几处，都开着什么口子。

二、上了域控，也只管住了一半共享

很多企业觉得：上了域控、有了文件服务器，共享这事就管住了。

事实是：IT 管的共享盘只是一半，另一半藏在每台员工电脑里。

谁都能开，开了没人知道，关了也没人登记。这一部分，制度够不着，策略没覆盖，日志也不记。

三、本机共享的四宗罪

1. 权限失控 —— 门上写着"欢迎光临"

图省事选 Everyone 或"匿名访问"，等于对同一网络里的所有人敞开。局域网里只要有一台机器中招，攻击者就能顺着摸到你共享的内容。你防的是外网，门却开在内网。

2. 勒索病毒的顺藤摸瓜 —— 一人中招，全组陪葬

勒索软件最爱的传播路径之一就是开放共享：进一台机器 → 扫全网共享 → 能写的目录全加密。制造业里这种案例年年有，而且往往不是一台机器的事，是一整条产线的图纸同时锁死。

3. 敏感文件"漏斗式"汇聚 —— 野生数据仓库

共享文件夹里的东西都是"顺手放"的，越攒越多、越攒越杂，最后变成没有台账、没有密级、没有备份。人一离职、机器一重装，三年的资料说没就没；反过来，它一直在，也可能一直在被人拷走。

4. 审计真空 —— 出事了连线索都没有

公司共享盘有访问日志，本机共享没人看。谁访问过、拷走了什么、什么时候拷的——一概不知。 真出了事，既没有溯源线索，也没有举证材料。

四、怎么收拾？四步收口

第一步：先扫后关：用工具把全网终端的开放共享扫一遍、列清单、逐台确认。业务上真需要的，收紧权限改成账号级访问；没必要的全部关掉。多数企业的真实结论是：八成以上可以直接关。

第二步：再立规矩：把"终端禁止开共享"写进 IT 管理制度，传文件走公司网盘或文件服务器——那里有权限、有日志、有备份，方便程度也不差这几下点击。

第三步：技术兜底：通过终端管理策略统一禁用或审计本机共享行为，谁开了、共享了什么路径，管理端看得见。制度靠自觉，策略才靠得住。

第四步：加密托底。 就算共享没关干净，敏感文件本身加了密，别人摸进共享目录拿到的也只是打不开的密文。在防泄密体系里，这层永远值得留。

五、三问自查：你的公司有没有这种门？

①你知道公司里现在开着多少个终端共享吗？分别在谁的机器上？

②上个月有没有人从某个共享目录拷走过文件？拷了什么？

③如果某台电脑中勒索病毒，你能确定它不会顺着共享蔓延吗？

三问里有一问答不上来，就该做一次体检了。

写在最后

方便和安全的账，从来不能只算一头。员工觉得顺手的那一下设置，可能就是别人进你公司最省力的那扇门。

想给全公司终端做一次共享和权限体检，找上邦聊聊——一套方案，把门都看住。