Napredno upravljanje NTFS-om i dozvolama za dijeljenje u sustavu Windows

Sigurnost podataka na Windows serverima uveliko zavisi od načina na koji konfigurišete NTFS dozvole i dozvole za dijeljenje. Ako želite da korisnici pristupaju samo onome što im je potrebno i ništa više, potrebno vam je temeljno razumijevanje kako ova dva sloja funkcionišu zajedno i kako se dozvole nasljeđuju unutar foldera.

Kada počnete raditi s dijeljenim resursima, vrlo je često da se zbunite: dodijelite Punu kontrolu na kartici Dijeljenje , ali na kartici Sigurnost dodijelite samo pristup za čitanje i, naravno, više ne znate koja dozvola ima prioritet. Nadalje, u igru ​​dolaze koncepti poput eksplicitnih dozvola, nasljeđivanja dozvola , naprednih dozvola i vječnog pitanja je li bolje modificirati roditeljski ili podređeni resurs. Sve je to upravo ono što ćemo detaljno i korak po korak objasniti.

Osnove NTFS-a i dozvole za dijeljenje

Tehnička osnova je jednostavna: NTFS je moderni Windows sistem datoteka (prisutan od Windowsa NT nadalje) i omogućava napredne dozvole, nasljeđivanje, reviziju i šifriranje na nivou datoteka i foldera, dok je stariji FAT/FAT32 mnogo ograničeniji u pogledu sigurnosti.

NTFS dozvole kontrolišu i lokalni i udaljeni pristup datotekama pohranjenim na NTFS volumenima; to jest, utiču na korisnika koji sjedi ispred servera kao i na onog koji mu pristupa putem mreže, sve dok su oba autentificirana pomoću Windows računa.

S druge strane, dozvole za dijeljenje primjenjuju se samo kada se dijeljenoj mapi pristupa preko mreže; one uopće ne utječu na to ako neko otvori mapu direktno iz konzole servera, niti dozvoljavaju granularnost unutar dijeljenja (ne možete imati drugačiju dozvolu za podmapu samo s ovim slojem).

Ovaj dvostruki sloj znači da se, prilikom pristupanja dijeljenom resursu koji se nalazi na NTFS volumenu preko mreže, dozvole za dijeljenje i NTFS dozvole uvijek kombiniraju ; a ova kombinacija je regulirana vrlo jasnim zlatnim pravilom: efektivni rezultat je uvijek najrestriktivnija dozvola između te dvije.

Vrste NTFS dozvola: osnovne i napredne

Kada otvorite karticu Sigurnost datoteke ili mape, prvo što vidite su osnovne NTFS dozvole , koje su unaprijed dizajnirane kombinacije naprednih dozvola tako da ne morate označavati kućice jednu po jednu.

Među najčešćim osnovnim dozvolama naći ćete opcije kao što su Puna kontrola, Izmjena, Čitanje i izvršavanje, Čitanje, Pisanje ili čak Prikaz sadržaja mape; sve se to interno prevodi u skup detaljnijih prava.

Ako odete u napredne postavke, imat ćete kompletnu listu detaljnih NTFS dozvola , koje zapravo definiraju koje radnje korisnik može izvršiti na određenoj datoteci ili mapi.

U okviru ovih naprednih dozvola postoji niz veoma važnih prava, kao što su Pregledaj fasciklu / Izvrši datoteku, Listaj fasciklu / Čitaj podatke, Čitaj atribute i Čitaj proširene atribute , koja zajedno određuju šta se može vidjeti i čitati u datotečnom sistemu.

Druge granularne dozvole fokusiraju se na mogućnost pisanja i mijenjanja, kao što su Kreiranje datoteka / Pisanje podataka, Kreiranje mapa / Dodavanje podataka, Pisanje atributa i Pisanje proširenih atributa , koje definiraju može li korisnik kreirati nove stavke, mijenjati postojeće datoteke ili mijenjati metapodatke.

Najosjetljiviji dio tabele naprednih dozvola uključuje one koje utiču na brisanje i sigurnost, kao što su Brisanje podfascikli i datoteka, Brisanje, Promjena dozvola, Preuzimanje vlasništva, Pregled dozvola i Sinhronizacija , budući da one određuju da li korisnik može izbrisati podatke ili čak preuzeti kontrolu nad resursom.

Ako uporedite sve ove napredne dozvole s osnovnim, vidjet ćete da, na primjer, Potpuna kontrola uključuje apsolutno sva ta prava , dok dozvole poput Čitanja ili Pisanja uključuju samo podskup njih, što vam omogućava da vrlo precizno prilagodite nivo pristupa.

Nasljeđivanje, eksplicitne dozvole i napredno upravljanje

Jedan od stubova napredne administracije je dobro razumijevanje nasljeđivanja dozvola u NTFS-u , odnosno kako se dozvole definirane u nadređenoj mapi šire na njene podmape i podređene datoteke.

Podrazumevano, kada konfigurišete dozvole za fasciklu koja služi kao kontejner, svi podređeni objekti nasljeđuju te dozvole ; ovo je veoma praktično jer znatno smanjuje administrativni posao u strukturama sa velikim brojem fascikli i dokumenata.

Dozvole koje dolaze odozgo smatraju se naslijeđenim dozvolama , dok se one koje definirate direktno na određenoj datoteci ili podmapi, bez ovisnosti o nadređenoj datoteci, nazivaju eksplicitnim dozvolama.

U složenim scenarijima, često nije potrebno prekidati nasljeđivanje; jednostavno dodavanje novih eksplicitnih dozvola za odobravanje ili odbijanje na određenim nivoima dovoljno je za fino podešavanje sigurnosti u određenim osjetljivim folderima.

Međutim, postoje slučajevi kada je preporučljivo prekinuti nasljeđivanje jer u određenom trenutku strukture želite početi ispočetka i definirati potpuno drugačiji model dozvola za tu granu.

Iz perspektive nadređene mape, nasljeđivanje možete prepisati označavanjem napredne opcije "Zamijeni sve unose dozvola podređenih objekata nasljednim dozvolama iz ovog objekta" , što novodefinirane dozvole prenosi na cijelo niže stablo.

Iz perspektive djeteta, možete direktno onemogućiti nasljeđivanje na određenom resursu, a u tom trenutku sistem će vas pitati želite li naslijeđene dozvole učiniti eksplicitnim ili ih potpuno ukloniti kako biste krenuli ispočetka s praznim ACL-om.

Ako odlučite da ih konvertujete, zadržat ćete trenutne postavke kao eksplicitne dozvole koje kasnije možete prilagoditi; ako odlučite da ih uklonite, morat ćete ručno definirati sve nove dozvole , što daje veću kontrolu, ali i zahtijeva više pažnje kako bi se izbjeglo blokiranje legitimnog pristupa.

Dozvole za dijeljenje: nivoi i postavke

Na mrežnoj ravni, dozvole za dijeljenje regulišu ko može pristupiti dijeljenom resursu i šta mogu raditi nakon povezivanja, pod uslovom da je pristup udaljen (putem UNC-a, mapiranih diskova itd.).

Ove dozvole se primjenjuju na sve datoteke i mape unutar dijeljenog resursa , bez razlikovanja podmapa, tako da ne dozvoljavaju isti stepen granularnosti kao NTFS, iako su važeće na FAT ili FAT32 volumenima.

Klasični nivoi dijeljene mape su Čitanje, Promjena i Puna kontrola , a svaki ima skup mogućnosti: pregled, mijenjanje, dodavanje ili brisanje stavki i, u slučaju Pune kontrole, upravljanje NTFS dozvolama na samoj dijeljenoj mapi.

Podrazumevano, prilikom deljenja fascikle, grupa Svi obično ima dozvolu za čitanje , dok grupa Administratori obično ima punu kontrolu, iako je u zaštićenim okruženjima ova konfiguracija strogo prilagođena.

Da biste konfigurirali ove dozvole, pristupite svojstvima mape, kartici Dijeljenje i koristite opcije Napredno dijeljenje da biste imenovali dijeljeni resurs (s opcijom da ga sakrijete dodavanjem znaka $ na kraju) i definirali dozvole za određene grupe i korisnike.

Kako NTFS i dozvole za dijeljenje međusobno djeluju

Ključ za izbjegavanje zabune je razumijevanje da kada korisnik pristupi mapi koja se nalazi na NTFS volumenu preko mreže , primjenjuju se dva sigurnosna filtera: prvo dozvola za dijeljenje, a zatim NTFS dozvola.

Pravilo je vrlo jasno: efektivni rezultat će uvijek biti najrestriktivnija dozvola koja proizlazi iz kombinacije oba, odnosno ono što jedan sloj uskraćuje, drugi ne može odobriti, čak i ako je popustljiviji.

Zamislite da korisniku dodijelite Punu kontrolu na kartici Dijeljenje, ali samo Čitanje na kartici Sigurnost ; u ovom slučaju, iako dijeljeni resurs kaže da korisnik može sve, NTFS mu dozvoljava samo čitanje, tako da će efektivna dozvola biti samo za čitanje.

Ako bi se dogodilo suprotno — na primjer, promjena ili potpuna kontrola u NTFS-u i samo čitanje u dijeljenom resursu — korisnik bi također bio ograničen na ono što dijeljeni resurs dozvoljava, što je manje permisivno od NTFS ACL-a.

Zbog toga se mnogi administratori odlučuju za strategiju ostavljanja relativno širokih dozvola za dijeljenje (npr. Potpuna kontrola za administratore i Promjena za korisnike domene) i primjene sve fine logike ograničenja isključivo s NTFS dozvolama.

Praktična konfiguracija dozvola za dijeljenje i NTFS-a

Prilikom dizajniranja datotečnog servera, uobičajeno je slijediti jasnu strukturu foldera, na primjer nešto slično E:\Content kao fizička mapa koja se zatim objavljuje putem mrežnog dijeljenja kao \server\share$.

U sloju dijeljenja, ima smisla da grupe poput administratora domene i računi računara imaju potpunu kontrolu, a da korisnici domene imaju barem dozvole za promjenu ako će mijenjati sadržaj.

Zatim, na fizičkoj mapi E:\Content, NTFS dozvole su obično ograničene na Administratore i Sistem s punom kontrolom , bez dodavanja krajnjih korisnika, jer se pravo filtriranje vrši na dubljim nivoima strukture mape.

Unutar tog korijenskog direktorijuma možete imati specifične kontejnere po lokaciji ili po korisniku, kao što je E:\Content\<nazivlokacije> , gdje administratorima i sistemu dajete punu kontrolu, a vlasniku lokacije dozvole samo za čitanje ili popis sadržaja ako bi trebali samo konsultovati, ali ne i mijenjati, tu mapu kontejnera.

U glavnoj mapi web stranice, na primjer E:\Content\<nazivweb-stranice>\wwwroot , puna kontrola se obično dodjeljuje administratorima i sistemu, puna kontrola vlasniku stranice, a dozvole samo za čitanje identitetu IIS skupa aplikacija , tako da stranica ispravno funkcionira bez dodjeljivanja više dozvola nego što je potrebno.

Preporučuju se mape dnevnika iznad web korijena, nešto poput E:\Content\<nazivweb-lokacije>\Logs , s punom kontrolom za administratore i sistem te kontroliranim pristupom (obično čitanje ili čitanje i pisanje ovisno o vrsti dnevnika) za vlasnika web-lokacije ili servisne račune koji zapisuju dnevnike.

Detaljan vodič: dozvole za dijeljenje

Da biste kreirali novi dijeljeni resurs, prvo pronađite mapu koju želite objaviti, kliknite desnim tasterom miša i otvorite Svojstva mape , gdje ćete pronaći karticu Dijeljenje.

Odatle možete kliknuti na Napredno dijeljenje , gdje konfigurirate naziv dijeljenog resursa, maksimalan broj istovremenih korisnika i, prije svega, popis dozvola za dijeljenje.

U okruženjima s omogućenim UAC-om, Windows može tražiti potvrdu za nastavak, jer mijenjanje dijeljenih resursa zahtijeva povišene privilegije ; morat ćete prihvatiti upit da biste nastavili s konfiguracijom.

Kada uđete u Napredno dijeljenje, označite polje za "Dijeli ovu mapu" , definirajte naziv (ako ga želite sakriti, dodajte znak $ na kraj) i, ako smatrate potrebnim, dodajte opisni komentar za identifikaciju resursa.

Zatim kliknite na dugme Dozvole i u skočnom okviru uklonite grupu Svi ako se ona pojavljuje prema zadanim postavkama, dodajući umjesto nje odgovarajuće korisnike i grupe kojima želite dati pristup i dodijelite im prava Čitanje, Promjena ili Potpuna kontrola prema njihovoj funkciji.

Detaljan vodič: NTFS dozvole i napredne dozvole

Da biste konfigurirali NTFS dozvole za strukturu mapa, vratite se na Svojstva objekta (datoteke ili mape), ali ovaj put idete na karticu Sigurnost, gdje vidite popis korisnika i grupa s njihovim odobrenim ili odbijenim dozvolama.

Odatle možete kliknuti na Uredi da biste dodali nove unose, izmijenili postojeće ili ih izbrisali; u ovom okviru definirate osnovne dozvole (Čitanje, Izmjena, Potpuna kontrola itd.) za odabrani resurs.

Ako želite precizniju kontrolu, kliknite na Napredno , što će vas odvesti do prozora sa naprednim sigurnosnim postavkama, sa specifičnim karticama za dozvole, nasljeđivanje, vlasništvo i reviziju.

Na kartici Napredne dozvole možete kliknuti na Promijeni dozvole da biste detaljno prilagodili svaki unos, odabirući u odjeljku "Primijeni na" da li taj unos utiče samo na ovu mapu, ovu mapu i podmape, poddatoteke ili sve moguće kombinacije.

U odjeljku za napredne dozvole vidjet ćete kompletnu listu polja za potvrdu koja smo ranije spomenuli (Prolazak kroz mapu / izvršnu datoteku, Lista mapa / čitanje podataka, Čitanje atributa, Kreiranje datoteka, Brisanje, Promjena dozvola, Preuzimanje vlasništva itd.), koje možete označiti kao Dozvoli ili Zabraniti.

Ako želite da podmape i datoteke naslijede potpuno iste postavke, možete odabrati opciju primjene ovih dozvola samo na objekte i/ili kontejnere unutar ovog kontejnera , osiguravajući da se ACL koji ste upravo definirali replicira od te tačke prema dolje.

Kada završite s podešavanjem različitih unosa dozvola za NTFS, preporučuje se da označite polje "Zamijeni sve dozvole podređenih objekata dozvolama koje se mogu naslijediti iz ovog objekta" ako vam je namjera potpuno ujediniti sigurnost na cijeloj nižoj grani.

Najbolje prakse za napredno upravljanje dozvolama

Da bi se spriječilo da upravljanje dozvolama postane nekontrolirani haos, bitno je slijediti princip najmanjih privilegija (PoLP) , dajući svakom korisniku samo dozvole koje su neophodne za njegov svakodnevni rad i ništa više.

Osnovna preporuka je dodjeljivanje dozvola grupama, a ne pojedinačnim korisnicima , osim u vrlo izuzetnim slučajevima, jer je na taj način dovoljno promijeniti članstvo u grupi kada korisnik promijeni poziciju, bez potrebe za pregledom svakog ACL-a pojedinačno.

Također je dobra ideja grupirati resurse sa sličnim sigurnosnim zahtjevima u istu mapu , tako da možete dijeliti korijensku mapu i primijeniti konzistentne NTFS dozvole ispod nje, umjesto kreiranja desetina malih, teško održavajućih dijeljenih resursa.

Što se tiče posebnih grupa, preporučljivo je biti posebno oprezan sa grupama Svi i Administratori ; preporučuje se da se što više ograniči široki pristup i da se članstvo administratora održava malim i kontroliranim, koristeći odvojene račune za administrativne zadatke.

Što se tiče nasljeđivanja i eksplicitnih odbijanja, važno je ne pretjerivati ​​s dozvolama Odbijanja osim kada je to apsolutno neophodno , jer mogu generirati nuspojave koje je teško dijagnosticirati, posebno ako postoje ugniježđene grupe i duboke strukture mapa.

Efikasno rješavanje problema i dozvole

Kada korisnik ne može pristupiti resursu koji bi trebao vidjeti ili obrnuto, ima više pristupa nego što je primjereno, to je obično zbog neispravno naslijeđenih dozvola ili prisustva ugniježđenih grupa i napuštenih SID-ova u ACL-ovima.

Praktičan način za pokretanje dijagnoze je korištenje izvornih ili alata trećih strana, kao što je AccessChk , za provjeru efektivnih dozvola za određenog korisnika na datoteci ili mapi, uzimajući u obzir sve grupe kojima pripadaju.

Preporučljivo je pažljivo pregledati postoje li nepoznati sigurnosni identifikatori (neriješeni SID-ovi) u listama kontrole pristupa; i, ako je potrebno, generirati izvještaje o NTFS dozvolama za analizu, jer oni obično odgovaraju izbrisanim računima koji su ostavili ostatke i mogu zakomplicirati tumačenje ACL-a.

Još jedna stvar koju treba provjeriti je ko je vlasnik resursa , budući da vlasnik ima mogućnost promjene dozvola čak i kada ACL izgleda ograničavajući; ponekad administrator mora preuzeti vlasništvo nad datotekom ili mapom kako bi ispravio konfiguraciju.

U složenim strukturama, preporučljivo je mapirati hijerarhiju foldera i pregledati gdje je došlo do prekida nasljeđivanja ili gdje su primijenjena eksplicitna odbijanja, kako bi se identificirao nivo koji uzrokuje sukob dozvola koji korisnik doživljava.

Opšta strategija: NTFS naspram dozvola za dijeljenje

U većini poslovnih okruženja, najrobustnija praksa je oslanjanje prvenstveno na NTFS dozvole za detaljnu sigurnost, jer se one primjenjuju i na lokalni i na udaljeni pristup i omogućavaju vrlo granularnu kontrolu po datotekama i podfolderima.

Dozvole za dijeljenje se koriste kao opći sloj mrežne kontrole , posebno u sistemima gdje postoje FAT/FAT32 volumeni koji ne podržavaju NTFS ili u malim kancelarijama gdje se resursima pristupa samo daljinski i administracija je jednostavnija.

Kombiniranjem oba sloja, idealno je konfigurirati dijeljenje na relativno otvoren način za grupu kojoj je potreban pristup (na primjer, Promjena za korisnike domene) i što više precizirati NTFS dozvole kako bi se jasno razdvojilo ko može čitati, ko može mijenjati i ko upravlja.

Uvijek je važno imati na umu da će, u slučaju bilo kakvog preklapanja, prevladati najrestriktivnija dozvola , tako da nema smisla dodijeliti punu kontrolu nad dijeljenjem ako NTFS dozvoljava samo čitanje, ili obrnuto, očekivati ​​da će dijeljenje samo za čitanje dozvoliti izmjenu jer je NTFS popuštaniji.

U organizacijama s mnogo korisnika i uloga, može biti vrlo korisno oslanjati se na modele i alate kontrole pristupa zasnovane na ulogama (RBAC) kao što su Active Directory, SolarWinds ARM, Netwrix ili druga rješenja trećih strana kako bi se automatiziralo dodjeljivanje dozvola i periodično pregledavalo ko ima pristup čemu.

Napredno upravljanje NTFS dozvolama, u kombinaciji s dosljednim dozvolama za dijeljenje, dobro osmišljenim nasljeđivanjem i discipliniranim korištenjem grupa i uloga, omogućava vam izgradnju robusnog, fleksibilnog i upravljivog sigurnosnog modela koji štiti podatke, olakšava svakodnevni rad i minimizira iznenađenja od neovlaštenog pristupa ili neočekivanih zaključavanja.