集中存储与权限

文件为什么必须集中

「文件散落在员工电脑上」是大多数小型环境的真实状态，它的三个后果：

• 权限不可控 —— 一份敏感文件在谁的电脑上，没人说得全
• 无法审计 —— 谁拷走了什么，没有记录
• 无法追踪 —— 员工离职时，硬盘里的文件跟着一起消失

集中化把这三个问题一次性收拢：文件集中化 + 权限控制 + 审计，三件事一起做才完整——只集中不控权，NAS 就是「所有人的公共盘」；只控权不留痕，事后依然说不清谁动过。

网络位置：独立网段，不碰终端网段

NAS 属于核心数据资产，必须独立于办公网与生产网（VLAN 90），不直接暴露在员工终端网段里。办公网访问 NAS 只放行两个协议：SMB 与 HTTPS（见访问控制列表 的区间矩阵）。

有一件事需要在规划时就想清楚：外出人员也要用 NAS。这必然带来暴露面变大的压力——每多一种接入方式（VPN、端口映射、公网直连），就多一个要维护的入口。正确做法是把入口收敛成一个（见 SSL VPN），认证尽量上双因子，而不是「哪里都能进」。

设备选型时留意固件：成品 NAS 厂商的历史漏洞不少，实施前先核查固件版本与已知漏洞，并纳入后续的补丁节奏。一个没打补丁的 NAS，比十台没打补丁的 PC 更危险——它存着所有人的文件。

认证：加入域，统一 AD 账号

推荐模式是 NAS 加入域控，统一 AD 账号认证：

• 员工离职当天，域账号禁用，NAS 权限同步失效
• 权限跟着 AD 组走，不跟着 NAS 本地的共享设置走
• 配合域控侧的登录审计，「谁在什么时候访问了什么」可以对齐到人

如果某些功能需要本地账号，本地账号只用于管理，不用于日常文件访问——两套账号体系并存是审计断裂的开始。

能审计到什么程度

文件操作日志审计可以做到：

• 谁访问了文件
• 谁删除了文件
• 谁下载了文件
• 谁上传了文件
• 连同时间与来源 IP

但有一类审计是 SMB 共享做不到的：

「修改了文件中的哪一行内容」

因为 SMB 共享不是版本控制系统——它记录「文件被改过」，不记录「从什么改成了什么」。这不是配置问题，是协议边界。

需要字节级溯源时，正确工具是版本控制而不是 NAS 审计：把文档迁移为 Markdown 等纯文本格式，用 Git 管理，每一次修改都是可 diff、可回滚、可追责的。这套知识库本身就是这么做的——内容以 md 存放、Git 留痕，改了什么一眼可见。文档格式的迁移成本，换来的是「修改级审计」，这笔账在合规场景下是划算的。

能力清单

集中化之后 NAS 应该提供的能力：

能力	说明
文件权限控制	目录级 ACL，跟 AD 组联动
审计	访问 / 删除 / 下载 / 上传，带时间与 IP
用户追踪	操作落到具体账号，不停在「某台机器」
快照	勒索病毒加密共享目录后的最后一道防线——没有快照，只有恢复备份

快照单独强调：它是勒索场景下唯一能分钟级恢复的手段。定期备份是「昨天以前的数据还在」，快照是「十分钟前还好着」——两者的恢复成本差着一个数量级。