Отключение административных сетевых шар в Windows 11

Зачем и когда это нужно

Административные шары создаются системой автоматически и удобны для удалённого обслуживания. Отключать их стоит только в строго контролируемых средах, где риски удалённого доступа превышают удобство администрирования. В большинстве корпоративных сценариев это не рекомендуется.

Важно: перед изменением реестра выполните экспорт ветки реестра для резервной копии.

Быстрая инструкция — рабочая станция (Windows 11)

1. Нажмите Win + R, введите «regedit» и нажмите Enter, чтобы открыть Редактор реестра.
2. Подтвердите запрос Контроля учётных записей (UAC), если он появится.
3. Перейдите по ключу: HKEY_LOCAL_MACHINE\\SYSTEM\\CurrentControlSet\\Services\\LanmanServer\\Parameters.
4. Найдите в правой панели значение AutoShareWks.
5. Если значения нет — щёлкните правой кнопкой в правой части, выберите Создать > DWORD (32 бита) и назовите его AutoShareWks.
6. Дважды щёлкните по AutoShareWks и установите значение в 0, затем нажмите OK.
7. Закройте Редактор реестра и перезагрузите компьютер.

Быстрая инструкция — сервер (Windows Server)

1. Нажмите Win + R, введите «regedit» и нажмите Enter.
2. Подтвердите UAC при необходимости.
3. Перейдите по ключу: HKEY_LOCAL_MACHINE\\SYSTEM\\CurrentControlSet\\Services\\LanmanServer\\Parameters.
4. Найдите значение AutoShareServer.
5. Если его нет — создайте DWORD (32 бита) с именем AutoShareServer.
6. Установите AutoShareServer в 0 и сохраните.
7. Перезагрузите сервер.

После перезагрузки откройте «Управление компьютером» → Служебные программы → Общие папки → Справки и проверьте, исчезли ли административные шары (например, C$, ADMIN$).

Проверка и критерии приёмки

• В “Управлении компьютером” в разделе “Общие папки → Расшаривания” отсутствуют административные шары (C$, ADMIN$).
• Базовые сценарии удалённого управления, запланированные задачи и развертывание ПО протестированы и работают (или задокументировано их отключение).
• Если используется SCCM или другой центр управления, его работоспособность подтверждена в тестовой группе.

План отката

1. Откройте regedit и перейдите в тот же ключ: HKEY_LOCAL_MACHINE\\SYSTEM\\CurrentControlSet\\Services\\LanmanServer\\Parameters.
2. Установите значение AutoShareWks или AutoShareServer в 1 либо удалите созданный параметр.
3. Перезагрузите машину.
4. Проверьте наличие административных шар в «Управлении компьютером».

Когда не стоит отключать административные шары (контрпримеры)

• Если в инфраструктуре используется SCCM, WDS, удалённый PowerShell, инструменты удалённой поддержки или скрипты развёртывания. Отключение нарушит их работу.
• Если у вас централизованная система резервного копирования или мониторинга, полагающаяся на административные шары.

Альтернативные подходы (рекомендации безопасности)

• Ограничьте доступ к административным шарам с помощью брандмауэра и правил Windows Firewall.
• Используйте групповые политики (GPO) для контроля доступа по группам и времени.
• Настройте аудит и оповещения при попытках доступа к административным шарам.
• Применяйте принцип наименьших привилегий и отдельные администраторские учётные записи.

Рольовые чеклисты

Администратор рабочего места:

• Сделал экспорт ветки реестра.
• Применил изменение в тестовой группе из 1–3 машин.
• Проверил доступ к необходимым административным функциям.

Команда безопасности:

• Оценили влияние на инвентарь и политику развёртывания ПО.
• Задокументировали изменения и план отката.

Краткий глоссарий

• AutoShareWks — реестровый параметр, отключающий автоматические административные шары на рабочих станциях.
• AutoShareServer — реестровый параметр для серверных ОС, отключающий автоматические административные шары.
• Административные шары — скрытые ресурсы (например, C$), создаваемые системой для управления и обслуживания.

Примеры тестовых сценариев (acceptance)

1. До изменения: убедиться, что C$ доступна локально и по сети с учётной записью администратора (в контролируемой среде).
2. После изменения: попытка доступа к C$ по сети должна завершаться отказом.
3. Проверка всех ключевых системных задач (развёртывание, бэкап, мониторинг) — должны быть задокументированы результаты.

Замечания и риски

• Отключение административных шар не является полной защитой от атак. Это уменьшает поверхность для некоторых векторов, но ломает автоматические административные сценарии.
• Всегда сначала тестируйте на выделенных машинах и документируйте последствия.

Сводка

Отключение административных шар в Windows 11 возможно и выполняется через реестр: установите AutoShareWks или AutoShareServer в 0 и перезагрузите систему. Однако действие может нарушить работу множества административных инструментов. Рассмотрите альтернативы, подготовьте план отката и протестируйте изменения в контролируемой среде.