在 PowerShell 中实时监控与 SMB（Server Message Block）协议相关的所有活动和功能，通常可以通过以下几个方式来实现：

标签：powershellCopy Code Get 启用 Server 监控 Message SMB

在 PowerShell 中实时监控与 SMB（Server Message Block）协议相关的所有活动和功能，通常可以通过以下几个方式来实现：

1. 监控 SMB 共享的访问

可以通过 Get-SmbSession 和 Get-SmbShare 等 cmdlet 来查看 SMB 共享的活动状态。这些 cmdlet 允许你获取有关当前 SMB 会话、共享、客户端访问等的信息。

示例 1：获取当前 SMB 会话信息

Get-SmbSession 命令可以显示当前 SMB 会话的信息，包括每个会话的客户端 IP、共享名、用户等。

powershellCopy Code

Get-SmbSession

如果你想要实时监控 SMB 会话，可以使用 -Wait 参数来持续监控：

powershellCopy Code

Get-SmbSession -Wait

示例 2：获取当前共享列表

Get-SmbShare 可以列出当前 SMB 共享信息，包括共享名、共享路径、权限等。

powershellCopy Code

Get-SmbShare

2. 监控 SMB 客户端活动

你还可以使用 Get-SmbClient 来监控与 SMB 服务器建立连接的客户端。

powershellCopy Code

Get-SmbClient

该命令列出当前活动的 SMB 客户端和它们所连接的服务器。

3. 启用和监控 SMB 审计日志

要实时监控 SMB 相关的所有活动，尤其是访问日志，可以通过启用文件和打印服务器的审核策略来实现。这需要先在 Windows 安全策略中启用审核，然后查看事件日志。

步骤：

1. 启用审核策略： 打开 gpedit.msc（本地组策略编辑器），导航到 计算机配置 > Windows 设置 > 安全设置 > 高级审核策略配置 > 对象访问，启用 文件系统 审计。

2. 设置文件和文件夹的审计策略： 右键点击目标文件夹，选择 属性 > 安全 > 高级 > 审计，为特定用户或组设置审计策略，选择 "成功" 或 "失败" 事件。

3. 查看事件日志： 使用 PowerShell 查看事件日志中的 SMB 相关条目。

   powershellCopy Code

   Get-WinEvent -LogName "Security" | Where-Object { $_.Message -like "*SMB*" }

4. 实时监控 SMB 网络流量

如果你想要更详细的实时监控 SMB 流量（例如查看网络上的 SMB 请求、响应等数据包），你可以使用网络监控工具，如 Wireshark 或 Microsoft Message Analyzer，这些工具能够捕获和解析 SMB 协议的数据包。

你也可以在 PowerShell 中使用 Netsh 命令来捕获网络接口的流量，但这通常不如使用专业工具详细。

使用 netsh 捕获网络流量：

powershellCopy Code

netsh trace start capture=yes tracefile=c:\path\to\trace.etl

完成后可以通过 netsh trace stop 停止捕获，结果保存在指定的 .etl 文件中，你可以使用 netsh trace 工具进一步分析捕获的数据。

5. 监控 SMB 配置变更

如果你想要监控 SMB 配置的变更（例如启用或禁用 SMB 版本），你可以定期查询 SMB 配置或使用脚本来监听相关变更。

示例：查看当前启用的 SMB 版本

你可以使用以下命令检查 SMB 版本的启用状态：

powershellCopy Code

Get-WindowsFeature FS-SMB1, FS-SMB2, FS-SMB3

示例：启用/禁用 SMB1

如果你希望实时监控或强制执行 SMB1 的启用/禁用状态：

powershellCopy Code

Set-SmbServerConfiguration -EnableSMB1Protocol $false

6. 监控共享文件的访问

如果你希望监控某个特定文件或文件夹的访问，可以使用 Get-FileHash 或 Get-Content 等命令来定期检查文件的变化，结合 -Wait 参数来实时监控。

powershellCopy Code

Get-Content "C:\SharedFolder\File.txt" -Wait

这将持续监控文件的变化，并在文件内容发生变化时输出相关信息。

7. 监控网络端口

SMB 通常使用 445 端口，你可以使用 PowerShell 来检查该端口的活动情况。

示例：检查端口 445 的状态

powershellCopy Code

Test-NetConnection -Port 445 -ComputerName "your-smb-server"

通过以上的命令和方法，你可以实时监控与 SMB 协议相关的各种活动和功能，从会话信息到文件访问、审计日志，甚至网络流量。根据需求，你可以选择合适的工具和命令来完成具体的监控任务。如果你需要更深层次的网络分析，建议结合专业工具如 Wireshark 进行流量分析。

---

 

标签：powershellCopy,Code,Get,启用,Server,监控,Message,SMB
From： https://www.cnblogs.com/suv789/p/18655203