Administració avançada de permisos NTFS i compartits a Windows

La seguretat de les dades a servidors Windows es recolza, en gran mesura, en com configures els permisos NTFS i els permisos de compartició. Si vols que els usuaris accedeixin només a allò que deuen, i res més, necessites entendre molt bé com es combinen aquestes dues capes i com s'hereten els permisos dins de les carpetes.

Quan comences a treballar amb recursos compartits, és molt habitual embolicar-se: das Control total a la pestanya Compartir , però a la pestanya Seguretat només concedeixes Lectura i, és clar, ja no saps quin permís mana. A més, entren en joc conceptes com permisos explícits, herència de permisos , permisos avançats i l'etern dubte de si és millor tocar el recurs pare o el fill. Tot això és just el que desgranarem, pas a pas i amb detall.

Conceptes bàsics de NTFS i permisos de compartició

La base tècnica és senzilla: NTFS és el sistema de fitxers modern de Windows (present des de Windows NT en endavant) i és el que permet tenir permisos avançats, herència, auditoria i xifrat a nivell de fitxer i carpeta, mentre que l'antic FAT/FAT32 és molt més limitat en seguretat.

Els permisos NTFS controlen l'accés tant local com remot als fitxers emmagatzemats en volums NTFS; és a dir, afecten igual un usuari que està assegut davant del servidor que un altre que entra a través de la xarxa, sempre que tots dos s'autentiquin amb comptes de Windows.

D'altra banda, els permisos de compartició només actuen quan s'accedeix per xarxa a una carpeta compartida; no afecten gens si algú obre la carpeta directament des de la consola del servidor, ni permeten granularitat dins de la compartició (no pots tenir un permís diferent per a una subcarpeta només amb aquesta capa).

Aquesta doble capa fa que, en accedir per xarxa a un recurs compartit ubicat en un volum NTFS, es combinin sempre permisos de compartició + permisos NTFS ; i aquesta combinació es regeix per una regla d'or molt clara: el resultat efectiu és sempre el permís més restrictiu entre tots dos.

Tipus de permisos NTFS: bàsics i avançats

Quan obris la pestanya Seguretat d'un fitxer o carpeta, el primer que veus són els permisos NTFS bàsics , que són combinacions predissenyades de permisos avançats perquè no hagis de marcar caselles una per una.

Entre els permisos bàsics més habituals trobaràs opcions com ara Control total, Modificar, Llegir i executar, Llegir, Escriure o fins i tot Mostrar el contingut de la carpeta; tots ells es tradueixen internament en un conjunt de drets més granulars.

Si entres a la configuració avançada, tindràs la llista completa de permisos granulars NTFS , que són els que realment defineixen quines accions pot realitzar un usuari sobre un fitxer o carpeta en concret.

Dins d'aquests permisos avançats, hi ha una sèrie de drets molt importants, com ara Navegar per carpeta / Executar fitxer, Llistar carpeta / Llegir dades, Llegir atributs i Llegir atributs estesos , que en conjunt determinen el que es pot veure i llegir al sistema de fitxers.

Altres permisos granulats se centren en la capacitat d'escriptura i modificació, com ara Crear fitxers / Escriure dades, Crear carpetes / Afegeix dades, Escriure atributs i Escriure atributs estesos , que defineixen si l'usuari pot crear nous elements, modificar fitxers existents o canviar metadades.

A la part més sensible de la taula de permisos avançats hi ha els que afecten l'eliminació i la seguretat, com Eliminar subcarpetes i fitxers, Eliminar, Canviar permisos, Prendre propietat, Visualitzar permisos i Sincronitzar , ja que en depèn que un usuari pugui esborrar dades o fins i tot assumir el control d'un recurs.

Si creues tots aquests permisos avançats amb els bàsics, veuràs que, per exemple, Control total inclou absolutament tots aquests drets , mentre que permisos com Llegir o Escriure incorporen només un subconjunt, cosa que permet ajustar el nivell d'accés de forma molt precisa.

Herència, permisos explícits i gestió avançada

Un dels pilars de l'administració avançada és entendre bé l' herència de permisos a NTFS , és a dir, com es propaguen els permisos definits en una carpeta pare cap a les seves subcarpetes i fitxers fills.

Per defecte, quan configures uns permisos en una carpeta que actua com a contenidor, tots els objectes fills hereten aquests permisos ; això és molt còmode perquè redueix moltíssim el treball dadministració en estructures amb gran nombre de carpetes i documents.

Els permisos que arriben des de dalt es consideren permisos heretats , mentre que els que defineixes directament sobre un fitxer o subcarpeta concreta, sense dependre del pare, s'anomenen permisos explícits.

En escenaris complexos, moltes vegades no cal trencar l'herència; només cal afegir nous permisos explícits de concessió o de denegació en nivells concrets per afinar la seguretat en determinades carpetes sensibles.

Ara bé, hi ha ocasions en què sí que convé trencar l'herència perquè en un punt de l'estructura vols fer un “borró i compte nou” i definir un model de permisos completament diferent per a aquesta branca.

Des de la perspectiva de la carpeta pare, podeu reescriure l'herència marcant l'opció avançada de “Reemplaçar totes les entrades de permisos d'objectes secundaris amb permisos heretables d'aquest objecte” , cosa que empeny els permisos acabats de definir a tot l'arbre inferior.

Des de la perspectiva del fill, pots deshabilitar l'herència directament al recurs concret, i en aquest moment el sistema et preguntarà si vols convertir els permisos heretats en explícits o eliminar-los del tot per partir des de zero amb una ACL buida.

Si tries convertir-los, mantindràs la configuració actual com a permisos explícits que després podràs anar retocant; si tries treure'ls, hauràs de definir manualment tots els nous permisos , cosa que dóna més control però també exigeix ​​més cura per no bloquejar accessos legítims.

Permisos de compartició: nivells i configuració

Al plànol de xarxa, els permisos de compartició regulen qui pot entrar a un recurs compartit i què pot fer una vegada que es connecta, sempre que l'accés sigui remot (per UNC, unitats mapejades, etc.).

Aquests permisos s'apliquen a tots els fitxers i carpetes dins de la compartició , sense distingir entre subcarpetes, per la qual cosa no permeten el mateix grau de granularitat que NTFS, encara que sí que són vàlids sobre volums FAT o FAT32.

Els nivells clàssics d'una carpeta compartida són Read (Lectura), Change (Canviar) i Full Control (Control total) , cadascun amb un conjunt de capacitats: veure, modificar, afegir o eliminar elements i, en el cas de Control total, gestionar permisos NTFS a la pròpia compartició.

De fàbrica, en compartir una carpeta, el més normal és que el grup Everyone tingui permís de Lectura , mentre que el grup Administrators sol disposar de Control total, encara que en entorns protegits aquesta configuració s'ajusta de forma estricta.

Per configurar aquests permisos, accediu a les propietats de la carpeta, pestanya Compartir, i utilitzeu les opcions d' ús compartit avançat per donar nom al recurs compartit (amb possibilitat d'ocultar-lo afegint un $ al final) i definir els permisos per a grups i usuaris concrets.

Com interactuen permisos NTFS i de compartició

El punt clau per no tornar boig és entendre que, quan un usuari accedeix a través de la xarxa a una carpeta ubicada en un volum NTFS , s'apliquen dos filtres de seguretat: primer el permís de compartició i després el permís NTFS.

La regla pràctica és molt clara: el resultat efectiu serà sempre el permís més restrictiu que sorgeixi de combinar tots dos, és a dir, allò que una capa nega, l'altra no pot concedir-ho, encara que sigui més permissiva.

Imagina que a un usuari li concedeixes Control total a la pestanya Compartir però només Lectura a la pestanya Seguretat ; en aquest cas, encara que el recurs compartit digui que lusuari pot fer de tot, NTFS només el deixa llegir, així que el permís efectiu serà de només lectura.

Si passés el contrari —per exemple, Change (Canviar) o Control total a NTFS i només Read (Lectura) a la compartició—, l'usuari també quedaria restringit al que permet la compartició, que és menys permissiu que l'ACL NTFS.

Per aquest motiu, molts administradors opten per una estratègia de deixar els permisos de compartició relativament amplis (per exemple, Control total per a administradors i Canviar per a Usuaris del domini) i aplicar tota la lògica de restricció fina exclusivament amb permisos NTFS.

Configuració pràctica de permisos de compartició i NTFS

Quan dissenyes un servidor de fitxers, és habitual seguir una estructura de carpetes clara, per exemple una cosa similar a E:\Content com a carpeta física que després es publica mitjançant una compartició de xarxa com a \servidor\share$.

A la capa de compartició, és lògic que grups com a Administradors de domini i comptes de màquina tinguin Control total, i que els usuaris de domini disposin almenys de permisos de Canvi si modificaran contingut.

Després, sobre la carpeta física E:\Content, els permisos NTFS solen limitar-se a Administradors i System amb Control total , sense afegir usuaris finals, perquè el veritable filtratge es fa en nivells més profunds de l'estructura de carpetes.

Dins aquesta arrel, pots tenir contenidors específics per lloc o per usuari, tipus E:\Content\<sitename> , on atorgues Control total a Administradors i System, i permisos de només lectura o llistat de contingut al propietari del lloc si només heu de consultar, però no modificar aquesta carpeta contenidora.

A la carpeta principal del lloc web, per exemple E:\Content\<sitename>\wwwroot , se sol concedir Control total a Administradors i System, Control total al propietari del lloc i permisos de només lectura a la identitat del grup d'aplicacions d'IIS , perquè el lloc funcioni correctament sense donar més permisos dels necessaris.

Les carpetes de registres es recomanen sempre per sobre de l'arrel web, una mica tipus E:\Content\<sitename>\Logs , amb Control total per a Administradors i System i accés controlat (normalment lectura o lectura i escriptura segons el tipus de log) per al propietari del lloc o els comptes de servei que escriuen els logs.

Guia pas a pas: permisos de compartició

Per crear un recurs compartit nou, el primer és situar-te a la carpeta que voleu publicar, fer clic amb el botó dret i obrir les Propietats de la carpeta , on trobareu la pestanya d'Ús compartit.

Des d'aquí podeu fer clic a Ús compartit avançat , que és on es configura el nom del recurs compartit, el nombre màxim d'usuaris simultanis i, sobretot, la llista de permisos de compartició.

En entorns amb UAC activat, Windows pot sol·licitar confirmació per continuar, ja que modificar recursos compartits necessita privilegis elevats ; haureu d'acceptar l'avís per continuar configurant.

Un cop a Ús compartit avançat, marques la casella de “Compartir aquesta carpeta” , defineixes el nom (si vols amagar-ho, afegeixes un signe $ al final) i, si ho consideres necessari, afegeixes un comentari descriptiu per identificar el recurs.

A continuació, prem el botó Permisos i, al quadre emergent, elimines el grup Tots (Everyone) si apareix per defecte, afegint al seu lloc els usuaris i grups adequats als quals vols donar accés i assignant-los Lectura, Canviar o Control total segons la seva funció.

Guia pas a pas: permisos NTFS i permisos avançats

Per configurar els permisos NTFS sobre l'estructura de carpetes, torneu a les Propietats de l'objecte (arxiu o carpeta), però aquesta vegada entreu a la pestanya Seguretat, on es veu la llista d'usuaris i grups amb els permisos concedits o denegats.

Des d'aquí podeu fer clic a Edita per afegir noves entrades, modificar-ne existents o eliminar-les; en aquest quadre es defineixen els permisos bàsics (Llegir, Modificar, Control total, etc.) sobre el recurs seleccionat.

Si vols un control més fi, fes clic a Avançat , cosa que et portarà a la finestra de configuració avançada de seguretat, amb pestanyes específiques per a permisos, herència, propietari i auditoria.

A la pestanya de Permisos avançats podeu prémer Canviar permisos per ajustar cada entrada en detall, escollint a “Aplica a” si aquesta entrada afecta només aquesta carpeta, aquesta carpeta i subcarpetes, fitxers fills, o totes les combinacions possibles.

A la secció de permisos avançats veuràs la llista completa de caselles que comentàvem abans (Carpeta Traverse / fitxer d'execució, Llista de carpetes / lectura de dades, Llegir atributs, Crear fitxers, Eliminar, Canviar permisos, Prendre propietat, etc.), que pots marcar com a Permetre o Denegar.

Si voleu que les subcarpetes i fitxers heretin exactament la mateixa configuració, podeu seleccionar l'opció d' aplicar aquests permisos a objectes i/o contenidors dins d'aquest contenidor únicament , assegurant que des d'aquest punt cap avall es replica l'ACL que acabeu de definir.

Quan acabis d'ajustar les entrades de permisos NTFS diferents, és recomanable revisar la casella de “Reemplaçar tots els permisos d'objecte secundari amb permisos heretables d'aquest objecte” si la teva intenció és unificar completament la seguretat a tota la branca inferior.

Bones pràctiques d'administració avançada de permisos

Per evitar que la gestió de permisos es converteixi en un caos incontrolable, és fonamental seguir el principi de mínim privilegi (PoLP) , donant a cada usuari només els permisos imprescindibles per a la seva feina diària i res més.

Una recomanació bàsica és assignar permisos a grups i no a usuaris individuals , excepte casos molt excepcionals, ja que així n'hi ha prou amb canviar la pertinença a grups quan un usuari canvia de lloc, sense haver de revisar cada ACL una per una.

També és una bona idea agrupar en una mateixa carpeta els recursos amb requisits de seguretat similars , de manera que puguis compartir una carpeta arrel i aplicar permisos NTFS homogenis a sota, en comptes de crear dotzenes de comparticions petites difícils de mantenir.

Respecte als grups especials, convé ser especialment curós amb Everyone i Administrators ; es recomana limitar al màxim els accessos amplis i mantenir la membresía d'administradors reduïda i controlada, utilitzant comptes separats per a tasques administratives.

Pel que fa a l'herència i les denegacions explícites, és important no abusar de permisos Denegar excepte quan sigui estrictament necessari , ja que poden generar efectes col·laterals complicats de diagnosticar, sobretot si hi ha grups imbricats i estructures profundes de carpetes.

Solució de problemes i permisos efectius

Quan un usuari no pot accedir a un recurs que hauria de veure, o al revés, té més accés del que convé, sol ser degut a permisos trencats o mal heretats , oa la presència de grups imbricats i SIDs orfes a les ACL.

Una forma pràctica de començar el diagnòstic és fer servir eines natives o de tercers, com AccessChk , per comprovar els permisos efectius per a un usuari concret sobre un fitxer o carpeta, tenint en compte tots els grups a què pertany.

Convé revisar amb calma si hi ha identificadors de seguretat desconeguts (SIDs sense resoldre) a les llistes de control d'accés; i, si escau, generar informes de permisos NTFS per analitzar-los, ja que normalment corresponen a comptes eliminats que van deixar restes i poden complicar la interpretació de l'ACL.

Un altre punt a verificar és qui és el propietari del recurs , ja que el propietari té la capacitat de canviar permisos fins i tot quan l'ACL semblaria restrictiva; de vegades l'administrador ha de prendre possessió d'un fitxer o una carpeta per poder corregir la configuració.

En estructures complexes, és recomanable traçar la jerarquia de carpetes i revisar on s'ha trencat l'herència o on s'apliquen denegacions explícites per identificar el nivell que està originant el conflicte de permisos que pateix l'usuari.

Estratègia general: NTFS davant de permisos de compartició

A la majoria d'entorns empresarials, la pràctica més sòlida consisteix a recolzar-se principalment en permisos NTFS per a la part fina de la seguretat, ja que s'apliquen tant a accessos locals com a remots i permeten un control molt detallat per fitxers i subcarpetes.

Els permisos de compartició es fan servir com a capa de control general per xarxa , sobretot en sistemes on hi ha volums FAT/FAT32 que no suporten NTFS, o en petites oficines on únicament s'accedeix als recursos de forma remota i l'administració és més senzilla.

Combinant ambdues capes, l'ideal és configurar la compartició de manera relativament oberta per al col·lectiu que ha d'accedir (per exemple, Canviar per a usuaris de domini) i refinar al màxim els permisos NTFS per separar clarament qui pot llegir, qui pot modificar i qui administra.

Sempre cal tenir present que, davant de qualsevol solapament, prevaldrà el permís més restrictiu , de manera que no té sentit concedir un Control total a la compartició si NTFS només permet Lectura, o al revés, esperar que una compartició de només Lectura permeti Modificar per tenir NTFS més permissiu.

En organitzacions amb molts usuaris i rols, pot ser molt útil recolzar-se en models de Control d'Accés Basat en Rols (RBAC) i eines com Active Directory, SolarWinds ARM, Netwrix o altres solucions de tercers, per automatitzar l'assignació de permisos i revisar periòdicament qui té accés a què.

L'administració avançada de permisos NTFS, combinada amb una configuració coherent de permisos de compartició, una herència ben pensada i un ús disciplinat de grups i rols, permet construir un model de seguretat robust, flexible i manejable que protegeix les dades, facilita la feina diària i redueix al mínim els ensurts per accessos indeguts o bloquejos inesperats.