如何配置 Windows 实现共享文件访问预警

Windows系统无原生共享文件访问预警功能，但可通过启用SMB共享审核日志（事件ID 5145/4663）、配置NTFS审核规则及任务计划程序触发msg或PowerShell通知实现访问提醒。

windows 系统本身不提供原生的“共享文件访问预警”功能（例如某人打开/修改了共享文件时自动弹窗或发通知），但可以通过组合系统机制与轻量级工具，实现接近“访问预警”的效果。核心思路是：记录谁在何时访问了哪些共享资源，并在发生访问时触发可见提醒或日志告警。

以下是切实可行、无需第三方商业软件的配置路径：

启用SMB共享审核日志

这是最基础也最关键的一步。开启后，系统会在安全日志中记录每一次成功的共享访问（包括读取、写入、连接断开等）。

• 按 Win + R 输入 gpedit.msc 打开本地组策略编辑器
• 依次展开：
  计算机配置 → Windows 设置 → 安全设置 → 高级审核策略配置 → 系统审计策略 → 对象访问
• 双击右侧的 文件共享，勾选 成功（也可选中失败，便于排查问题）
• 再进入：
  计算机配置 → Windows 设置 → 安全设置 → 本地策略 → 审核策略
• 启用 审核对象访问（仅“成功”即可）

✅ 效果：此后所有对共享文件夹的访问都会写入【事件查看器 → Windows 日志 → 安全】，事件ID为 5145（共享对象被访问）、5140（网络共享连接）等。

设置共享文件夹的NTFS审核规则

仅靠系统级审核不够精细，需为具体文件夹添加细粒度访问监控。

• 右键共享文件夹 → 属性 → 安全 → 高级 → 切换到“审核”选项卡 → 点击“继续”获取权限
• 点击“添加” → 选择主体（如 Everyone 或特定用户组）
• 勾选需要追踪的操作，例如：
  • 读取属性
  • 读取数据/写入数据
  • 创建文件/删除子文件夹
• 应用后，对应操作将生成更详细的事件ID（如 4663），精确到哪个用户、哪个文件、执行了什么动作

用任务计划程序实现“访问即提醒”

把日志事件变成可感知的预警——当检测到关键访问日志（如ID 5145），自动弹出提示或播放声音。

• 打开【任务计划程序】→ 创建基本任务
• 触发器选择：当特定事件被记录时
• 日志选 Security，来源选 Microsoft-Windows-Security-Auditing，事件ID填 5145
• 操作选：
  • 启动程序 → msg.exe * "有人正在访问共享文件夹"（仅限专业版/企业版）
  • 或运行 PowerShell 脚本发送桌面通知（需启用 Toast 通知权限）

⚠️ 注意：msg 命令在家庭版不可用；若用 PowerShell，需提前执行：
Set-ExecutionPolicy RemoteSigned -Scope CurrentUser

补充建议：简化识别与日常监控

- 在共享文件夹根目录放一个显眼的 README_WARNING.txt，内容如：“本文件夹启用了访问审计，请勿擅自修改重要文档” - 定期导出安全日志（筛选ID 5145/4663），用 Excel 排序查看高频访问者 - 若多台设备共用，建议关闭密码保护共享（高级共享设置中设为“关闭”），避免因凭据失败掩盖真实访问行为

不复杂但容易忽略