Windows服务器SMB签名与加密强制策略的核心，是解决网络文件共享中的两大安全隐患：数据在传输过程中可能被窃听或篡改。SMB签名确保数据包的完整性和来源真实性，防止中间人攻击；SMB加密则直接对数据流进行加密，确保内容机密性。在默认设置下，这些安全功能可能未被启用或仅部分启用，给攻击者留下了可乘之机。要彻底解决，管理员必须在域控制器和成员服务器上，通过组策略或注册表，强制执行SMB签名和加密，并确保所有客户端兼容。
SMB签名的原理与必要性
SMB签名（SMB Signing）是一种基于数字签名的安全机制。其工作原理是，在SMB协议数据包传输前，发送方会使用会话密钥生成一个哈希值（签名），并随数据包一起发送。接收方使用相同的密钥验证此签名。如果数据在传输中被篡改，签名验证就会失败，连接将被拒绝。这能有效抵御会话劫持和中间人攻击。在早期SMB 1.0协议中，该功能性能开销较大且默认关闭，而现代SMB 2.0及以上版本已进行了优化。然而，仅启用服务器端签名是不够的，如果客户端可以不签名连接，攻击者仍可伪装成客户端进行通信。因此，必须强制要求所有入站和出站连接都使用签名。
SMB加密的深度防护
SMB加密（SMB Encryption）与签名不同，它不仅仅验证数据完整性，而是使用AES-CCM或AES-GCM算法对整个SMB数据载荷进行端到端加密。这意味着即使数据包被截获，攻击者也无法解密其中的文件内容。加密功能从SMB 3.0版本开始引入，是应对高敏感环境（如金融、医疗数据存储）网络窃听的终极手段。加密的性能开销比签名更大，但在现代服务器硬件上通常可以接受。值得注意的是，SMB加密和签名可以同时启用，加密本身已包含完整性保护，但最佳实践是两者协同配置，为不同版本的客户端提供分层安全防护。
如何配置SMB签名强制策略
配置强制策略主要通过组策略对象（GPO）实现，这可以确保域内所有计算机统一生效。关键策略位于“计算机配置” -> “策略” -> “Windows设置” -> “安全设置” -> “本地策略” -> “安全选项”中。
第一，启用服务器端要求：将“Microsoft网络服务器：数字签名的通信(始终)”设置为“已启用”。这确保服务器会要求所有传入连接使用签名。
第二，启用客户端要求：将“Microsoft网络客户端：数字签名的通信(始终)”设置为“已启用”。这确保域内计算机作为客户端时，对所有出站连接要求签名。
第三，禁用不安全的协商：确保“Microsoft网络服务器：数字签名的通信(若客户端同意)”也设置为“已启用”。这堵死了客户端通过协商降低安全级别的可能性。
对于非域环境或需要快速验证的情况，可以直接修改注册表。服务器端对应的注册表键值为：
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\LanManServer\Parameters RequireSecuritySignature (DWORD) = 1
客户端对应的注册表键值为：
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\LanManWorkstation\Parameters RequireSecuritySignature (DWORD) = 1
修改后需重启计算机或重启Server/Workstation服务生效。
如何配置SMB加密强制策略
SMB加密的强制策略配置位置与签名不同。最有效的方法是通过PowerShell命令，这提供了更精细的控制。要强制服务器对所有共享连接使用加密，可以在服务器上以管理员身份运行：
Set-SmbServerConfiguration -EncryptData $true -Force
此命令会修改服务器的全局配置，要求所有进出该服务器的SMB 3.x连接都必须加密。若要仅对特定共享启用加密，可以使用：
Set-SmbShare -Name "ShareName" -EncryptData $true
同时，为了确保客户端也主动要求加密，可以配置组策略。相关策略位于“计算机配置” -> “策略” -> “管理模板” -> “网络” -> “Lanman工作站”中，启用“要求安全的RPC通信”和“启用SMB加密”等相关策略。完成配置后，任何不支持SMB 3.0及加密功能的旧客户端（如Windows 7未安装特定更新）将无法连接到该共享，这是在提升安全时必须评估的兼容性代价。
兼容性评估与排错步骤
强制策略最大的风险是导致旧设备或应用程序连接中断。在全面推行前，必须进行严格评估。首先，使用网络扫描工具或PowerShell命令 Get-SmbConnection 审计当前环境中所有SMB客户端的版本和连接状态。其次，在测试环境中先启用“审核”模式而非“强制”模式。例如，对于签名，可以先启用“Microsoft网络服务器：数字签名的通信(若客户端同意)”，并通过Windows事件查看器（事件ID 5827, 5828）监控哪些连接未使用签名。
常见的连接失败问题排查步骤如下：
(1)确认两端SMB协议版本支持（应禁用不安全的SMBv1）；
(2)使用 Test-NetConnection -ComputerName ServerName -Port 445 检查基础连通性；
(3)使用Wireshark等工具抓包，分析SMB协商过程，查看是否因安全要求不匹配而被拒绝；
(4)检查客户端和服务器上的本地策略或注册表设置是否被更具体的GPO覆盖。对于必须使用的旧系统，应考虑将其隔离到独立网络段，而非降低整个域的安全标准。
最佳实践与分层安全架构
将SMB签名和加密视为纵深防御的一环，而非全部。最佳实践包括：第一，完全禁用SMBv1协议，因为它存在严重漏洞且性能低下。可通过“启用或关闭Windows功能”或PowerShell命令 Disable-WindowsOptionalFeature -Online -FeatureName SMB1Protocol 实现。第二，结合网络层控制，使用防火墙严格限制对服务器445端口的访问，仅允许授权的IP段。第三，定期审查SMB审计日志，监控异常连接尝试。第四，对于面向互联网的服务器，应绝对避免直接暴露SMB端口，转而使用WebDAV、SFTP或VPN接入后的内网访问等更安全的替代方案。第五，确保所有Windows系统及时更新，以获得最新的SMB安全补丁和性能优化。
最终，一个健壮的策略是：在域级别GPO中，对所有服务器和客户端计算机强制启用SMB签名（始终），并对存储敏感数据的文件服务器额外强制执行SMB加密。同时，通过持续的资产管理和漏洞扫描，确保整个环境支持这些现代安全特性。安全与便利总需权衡，但在当今威胁环境下，为SMB通信施加强制性的签名与加密，已是保护企业核心数据不可或缺的底线措施。
