在 PowerShell 中实时监控与 SMB（Server Message Block）协议相关的所有活动和功能，通常可以通过以下几个方式来实现：
1. 监控 SMB 共享的访问
可以通过 Get-SmbSession 和 Get-SmbShare 等 cmdlet 来查看 SMB 共享的活动状态。这些 cmdlet 允许你获取有关当前 SMB 会话、共享、客户端访问等的信息。
示例 1：获取当前 SMB 会话信息
Get-SmbSession 命令可以显示当前 SMB 会话的信息，包括每个会话的客户端 IP、共享名、用户等。
Get-SmbSession如果你想要实时监控 SMB 会话，可以使用 -Wait 参数来持续监控：
Get-SmbSession -Wait示例 2：获取当前共享列表
Get-SmbShare 可以列出当前 SMB 共享信息，包括共享名、共享路径、权限等。
Get-SmbShare2. 监控 SMB 客户端活动
你还可以使用 Get-SmbClient 来监控与 SMB 服务器建立连接的客户端。
Get-SmbClient该命令列出当前活动的 SMB 客户端和它们所连接的服务器。
3. 启用和监控 SMB 审计日志
要实时监控 SMB 相关的所有活动，尤其是访问日志，可以通过启用文件和打印服务器的审核策略来实现。这需要先在 Windows 安全策略中启用审核，然后查看事件日志。
步骤：
-
启用审核策略： 打开
gpedit.msc（本地组策略编辑器），导航到计算机配置>Windows 设置>安全设置>高级审核策略配置>对象访问，启用文件系统审计。 -
设置文件和文件夹的审计策略： 右键点击目标文件夹，选择
属性>安全>高级>审计，为特定用户或组设置审计策略，选择 "成功" 或 "失败" 事件。 -
查看事件日志： 使用 PowerShell 查看事件日志中的 SMB 相关条目。
powershellCopy CodeGet-WinEvent -LogName "Security" | Where-Object { $_.Message -like "*SMB*" }
4. 实时监控 SMB 网络流量
如果你想要更详细的实时监控 SMB 流量（例如查看网络上的 SMB 请求、响应等数据包），你可以使用网络监控工具，如 Wireshark 或 Microsoft Message Analyzer，这些工具能够捕获和解析 SMB 协议的数据包。
你也可以在 PowerShell 中使用 Netsh 命令来捕获网络接口的流量，但这通常不如使用专业工具详细。
使用 netsh 捕获网络流量：
netsh trace start capture=yes tracefile=c:\path\to\trace.etl完成后可以通过 netsh trace stop 停止捕获，结果保存在指定的 .etl 文件中，你可以使用 netsh trace 工具进一步分析捕获的数据。
5. 监控 SMB 配置变更
如果你想要监控 SMB 配置的变更（例如启用或禁用 SMB 版本），你可以定期查询 SMB 配置或使用脚本来监听相关变更。
示例：查看当前启用的 SMB 版本
你可以使用以下命令检查 SMB 版本的启用状态：
Get-WindowsFeature FS-SMB1, FS-SMB2, FS-SMB3示例：启用/禁用 SMB1
如果你希望实时监控或强制执行 SMB1 的启用/禁用状态：
Set-SmbServerConfiguration -EnableSMB1Protocol $false6. 监控共享文件的访问
如果你希望监控某个特定文件或文件夹的访问，可以使用 Get-FileHash 或 Get-Content 等命令来定期检查文件的变化，结合 -Wait 参数来实时监控。
Get-Content "C:\SharedFolder\File.txt" -Wait这将持续监控文件的变化，并在文件内容发生变化时输出相关信息。
7. 监控网络端口
SMB 通常使用 445 端口，你可以使用 PowerShell 来检查该端口的活动情况。
示例：检查端口 445 的状态
Test-NetConnection -Port 445 -ComputerName "your-smb-server"通过以上的命令和方法，你可以实时监控与 SMB 协议相关的各种活动和功能，从会话信息到文件访问、审计日志，甚至网络流量。根据需求，你可以选择合适的工具和命令来完成具体的监控任务。如果你需要更深层次的网络分析，建议结合专业工具如 Wireshark 进行流量分析。
