哪些协议用于网络共享访问

Question

我想弄清楚如何使用网络共享访问审核 Windows 上的文件访问。

我有 2 台运行 Window 8 且未加入活动目录域的计算机。计算机 1 与所有人共享了一个文件夹。计算机 2 从共享文件夹中复制计算机 1 中的文件。

问题：我本来希望在计算机 1 上看到 IO 读取事件（使用procmon），但这并没有发生。我知道我可以通过打开文件访问监控来获取 IO 元数据，但是，这似乎效率低下并且难以与我从微型过滤器文件系统驱动程序接收的数据聚合（想想 procmon 文件读取）

问题：

• 计算机 1 和 2 使用哪些协议通过网络共享访问文件？
• 当计算机 2 访问其共享文件夹时，为什么 procmon 看不到计算机 1 上的 IO 事件？

Answer 1

计算机 1 和 2 使用哪些协议通过网络共享访问文件？

Windows 文件共享协议称为 SMB，曾是“服务器消息块”的缩写。它可能在“NetBIOS 会话”层（TCP 端口 139）上运行，但更常用在原始 TCP（端口 445）上。

（版本 1 也常被称为“CIFS”，但据我所知，标准定义的 CIFS 与 Windows SMBv1 并非 100% 相同。）

在 Windows 上，SMB 服务器作为LanmanServer服务在svchost.exe进程之一中运行。（我不完全确定，但我认为它的一部分也可能是内核驱动程序，由于没有在 ProcMon 正在监视它们的级别进行任何系统调用，它不会出现在 ProcMon 中。）