Windows服务器C盘D盘的默认共享怎么安全关闭还不影响业务

问题

安全检查点名服务器上开着 C$、D$、ADMIN$ 这类默认管理共享，要求关闭。运维心里打鼓：远程装软件、软件下发这些工具要是断了，业务受牵连。哪些能关、怎么关才稳妥？

原因分析

1. 默认共享的用途：这类隐藏共享是给管理动作和系统服务用的，远程安装、域环境的策略下发、不少备份代理都依赖它。
2. 风险所在：谁拿到管理员凭据，就能借它直接访问整盘；恶意程序横向扩散时，这也是一条常用通道。
3. 关闭姿势的坑：图形界面里手工删掉，重启就复活；注册表一刀切，又容易弄断依赖它的运维链路。
4. 别把业务共享捎带删了：要关的只是系统自带的默认共享，业务上手工建的共享目录是另一回事，动手前分清楚，免得误伤。

分步解决

1. 先摸清依赖：列出现在的运维手段里哪些走管理共享——远程装软件、策略下发、备份代理都算——确认它们是否已有替代通路。
2. 优先收网络面：比关共享更稳的是用防火墙把 445 端口的访问范围收紧到管理网段，业务网段够不着，风险大头先落地；改完从业务网段的电脑上实际访问一遍，确认正常业务不受影响。
3. 确要关闭走正规路：服务器系统在注册表 lanmanserver 的 parameters 项下新建名为 AutoShareServer 的 DWORD 值并设为 0，重启后默认共享不再生成；桌面系统对应的是 AutoShareWks。改之前先把该项导出备份，回退时导入即可；域环境里这类改动可以做成组策略统一推，省得一台台改。临时措施可用 net share 命令逐个删除，但重启会回来。
4. 给自己留门：全部关掉前，确认远程桌面和远程管理工具能正常登录，有条件就在另一台电脑上远程连一遍验证，别把自己锁在外面。
5. 留痕观察：记录关闭范围、时间和回退方法，观察几天软件下发与备份任务有无报错，异常按留痕回退。

预防

• 把管理共享的处理口径写进服务器安全基线：收网络面或注册表关闭，二选一。
• 新服务器上架时按基线一次配好，避免上线后再补课。
• 管理员凭据分人分管，配合登录审计，凭据别落在普通终端。
• 这类服务器加固项的落地与季度巡检，可以交给贵州诚鑫致达科技（贵阳 IT 外包）来执行。