Wie man NTFS-Berechtigungs- und ACL-Berichte in Windows generiert

Die Verwaltung der Zugriffsrechte auf Ordner auf einem Windows-Dateiserver kann schnell zu einem echten Problem werden. Wenn der NTFS-Berechtigungen und ACLs Sie geraten außer Kontrolle, es treten Sicherheitsprobleme auf, die Prüfungen dauern endlos an und die Benutzer haben mehr Berechtigungen, als ihnen zustehen.

Glücklicherweise haben wir heutzutage eine gute Mischung aus PowerShell-Skripte und Berichtstools In diesem Leitfaden finden Sie kostenlose und kostenpflichtige Tools, mit denen Sie übersichtliche Berichte in HTML, CSV oder XLSX erstellen können, die alle Datei- und Ordnerberechtigungen berücksichtigen. Wir zeigen Ihnen detailliert, wie Sie dies mit nativen Lösungen und spezialisierter Software erreichen und erläutern die wichtigsten Konzepte von NTFS, ACLs, Vererbung, speziellen Konten und Best Practices.

Native Überwachung mit PowerShell: Exportieren von NTFS-Berechtigungen in eine CSV-Datei

Windows enthält alles Notwendige, um NTFS-Berechtigungen prüfen, ohne etwas zu installieren Darüber hinaus gibt es zwar gewisse Einschränkungen, aber der klassische Ansatz besteht darin, mit PowerShell eine Ordnerstruktur zu durchlaufen und die ACLs auszulesen. Get-Acl und senden die Informationen an eine CSV-Datei, die dann in Excel geöffnet wird, um sie mit Filtern und Pivot-Tabellen zu analysieren.

Ein typisches Beispiel ist die Skript das definiert ein CSV-Ausgabedatei, eine Kopfzeile mit den Hauptspalten und einem Stammverzeichnis zum Überprüfen (zum Beispiel \\FileServer\shareAnschließend durchläuft es alle Unterordner mit Get-ChildItem -RecurseEs prüft, ob jedes Element ein Container (Ordner) ist und ruft für jedes Element dessen Zugriffsliste ab:

– Ordnerpfad, Konto oder Gruppe (IdentityReference), Zugriffstyp (Zulassen/Verweigern), ob die Berechtigung vererbt wird, Vererbungs- und WeitergabeflagsJede Zeile wird als kommagetrennte Zeichenkette erstellt und mithilfe von [Methode/Verfahren einfügen] zur CSV-Datei hinzugefügt. Inhalt hinzufügen.

Sobald der Scan abgeschlossen ist, öffnen Sie einfach die CSV-Datei in Microsoft ExcelWenden Sie Filter auf Spalten wie z. B. an Identitätsreferenz o IsInheredUnd Sie verfügen bereits über einen recht vollständigen ersten NTFS-Berechtigungsbericht, der nach Benutzern, Gruppen oder bestimmten Pfaden gefiltert werden kann.

Eine weitere gängige Option ist, das Ergebnis an Out-GridViewDies ermöglicht eine filterbare, interaktive Ansicht in Echtzeit, was sehr nützlich ist, wenn man ohne die Generierung von Zwischendateien prüfen möchte, obwohl für formale Audits in der Regel das CSV-Format bevorzugt wird.

Einschränkungen der nativen Überwachung mit PowerShell

Obwohl PowerShell sehr leistungsstark und flexibel ist, weist es einige Schwächen auf. praktische Einschränkungen bei großen PrüfungenDer offensichtlichste Unterschied liegt in der Leistung: bei Verwendung -Rückfall Bei sehr tiefen Verzeichnisstrukturen mit Hunderttausenden von Ordnern kann die Ausführung recht lange dauern und erheblichen Speicherplatz beanspruchen.

Darüber hinaus die grundlegenden Skripte mit Get-Acl Oftmals stoßen sie bei komplexeren Szenarien an ihre Grenzen, beispielsweise wenn man Folgendes benötigt: wirklich wirksame Genehmigungen Unter Berücksichtigung verschachtelter Gruppenzugehörigkeiten, vererbter Ablehnungen, spezieller SIDs oder Konflikte zwischen mehreren ACEs erfordert dies alles die Entwicklung zusätzlicher Logik oder die Verwendung externer Module, was die Wartung erschwert.

Es ist auch bei elementaren Schriften üblich. unterscheiden nicht klar zwischen vererbten und expliziten Berechtigungen. über das einfache Feld hinaus IsInheredSie zeigen auch nicht den genauen Ursprung der Vererbung. Bei Compliance-Audits (PCI DSS, SOX, HIPAA usw.) ist diese Rückverfolgbarkeit häufig erforderlich, und ihre manuelle Nachbildung in Excel kann recht mühsam sein.

Abschließend sei noch erwähnt, dass Sie zwar eine Aufgabe mit dem Aufgabenplaner planen und verwenden können. Send-MailMessage oder ähnliches, robuste Automatisierung periodischer Berichte (mit unterschiedlichen Vorlagen, Empfängern, Filtern nach Geschäftsbereich usw.) erfordert einen erheblichen Mehraufwand, wenn ausschließlich natives Scripting verwendet wird.

Netwrix Auditor für Windows-Dateiserver

Für diejenigen, denen die manuelle Skripterstellung nicht ausreicht, ist eine der beliebtesten Optionen: Netwrix Auditor für Windows-DateiserverDieses Produkt bietet ein spezielles Dateiserver-Berichtsmodul mit vordefinierten Berichten und erweiterten Filtern.

Der typische Ablauf zum Abrufen eines NTFS-Berechtigungsberichts mit Netwrix ist sehr einfach: Sie öffnen die Konsole und gehen zum Abschnitt Berichte > Dateiserver > Status für Die Zeit und Sie wählen den Bericht aus OrdnerberechtigungenIm Filter Objekt UNC-Pfad Der Pfad zur gemeinsam genutzten Ressource wird angegeben (zum Beispiel \\MyServer\MyShare) und die Abfrage wird ausgeführt.

Der resultierende Bericht zeigt für jeden Ordner die effektive Berechtigungen pro Benutzer oder GruppeDabei wird unterschieden, ob sie direkt oder über eine Gruppe zugewiesen wurden und ob sie vererbt wurden. Von dort aus können Sie exportieren nach HTML, PDF oder Exceloder einen Termin vereinbaren E-Mail-Abonnement um es in der gewünschten Häufigkeit (täglich, wöchentlich, monatlich usw.) zu erhalten.

Einer der klaren Vorteile gegenüber PowerShell ist, dass Netwrix integriert bereits die Gruppenmitgliedschaftsanalyse. und die Berechnung der effektiven Berechtigungen, wodurch die manuelle Implementierung dieser Logik entfällt. Darüber hinaus ist die Engine für große Umgebungen ausgelegt, sodass Scans in Infrastrukturen mit mehreren Dateiservern in der Regel schneller und einfacher durchzuführen sind.

Praktische PowerShell-Skripte für NTFS-Berichte

Wenn Sie lieber in Ihrer Heimat bleiben, aber einen Schritt weiter gehen möchten, ist es eine sehr gute Idee, sich vorzubereiten. PowerShell-Skripte speziell für verschiedene Arten der ÜberwachungAusgehend von den bereitgestellten Inhalten werden drei sehr nützliche Beispiele vorgestellt, die unterschiedliche Bedürfnisse abdecken, ohne dass Tools von Drittanbietern benötigt werden.

1. Skript zur Überprüfung eines bestimmten Benutzers auf der ersten Ebene

Das erste Skript soll eine sehr häufig gestellte Frage beantworten: Auf welche Ordner der obersten Ebene hat dieser Benutzer direkten Zugriff?Dies ist ideal, wenn ein Prüfer oder Abteilungsleiter eine schnelle Überprüfung der einsehbaren Daten und die Änderung eines bestimmten Kontos wünscht.

Das Skript definiert Variablen für die Basisroute (Beispiel: P:\), The Zielgruppe (Wie z DOMINIO\d.perezund die Ausgabedatei. Anschließend werden nur die Ordner auf der unmittelbaren Ebene abgerufen. Get-ChildItem -Path $Path -Force Filtern nach PSIsContainerRufen Sie für jeden Ordner die ACL ab mit Get-Acl und erkunden Sie die Zugangspunkte ($acl.Access).

Bei jedem ACE-Check, ob IdentityReference stimmt mit dem Benutzer übereinIn diesem Fall werden Informationen wie der Ordnername, die Rechte (FileSystemRights), der Zugriffstyp (Zulassen/Verweigern) und ob es sich um eine vererbte Berechtigung handelt, gespeichert. Alle Daten werden in einer Sammlung gespeichert und schließlich in eine Text- oder CSV-Datei exportiert. Ausgabedatei.

Wenn keine Übereinstimmung gefunden wird, protokolliert das Skript eine Meldung wie diese: „Für Benutzer X unter Pfad Y wurden keine Berechtigungen gefunden.“Dadurch werden leere Berichte vermieden und das Prüfungsergebnis wird klar.

Diese Vorgehensweise eignet sich perfekt für einmalige Prüfungen., um unerwünschte direkte Berechtigungen für Stammverzeichnisse zu erkennen oder um schnell zu überprüfen, auf welche Container der obersten Ebene ein kritisches Konto Zugriff hat.

2. Inventarisierungsskript für alle Benutzer der ersten Ebene

Das zweite Skript verfolgt einen globaleren Ansatz: Anstatt sich auf ein einzelnes Konto zu konzentrieren, generiert es ein Vollständige Bestandsaufnahme aller ACEs in jedem Ordner der ersten Ebene unter einem UNC-Pfad, zum Beispiel \\recursocompartido\Administración\.

Auch hier werden nur die Ordner direkt unter dem angegebenen Pfad abgerufen, ohne Rekursion. Für jeden Ordner wird die ACL abgerufen und ein Textblock erstellt, der etwa so beginnt: "Datei: „, gefolgt von einer Zeile für jeden Zugriffseintrag mit dem Benutzer oder der Gruppe, den zugewiesenen Rechten, dem Berechtigungstyp und der Angabe, ob es sich um eine Vererbung handelt.

Das Ergebnis ist ein leichtgewichtiger, schnell zu erstellender Bericht, der Folgendes liefert: Panoramaansicht der Wurzelebene der gemeinsam genutzten Ressource, ohne auf Details zu allen Unterordnern einzugehen. Dies ist vor einer Migration sehr nützlich, um zu überprüfen, ob die Basisstruktur sauber und gut organisiert ist.

Obwohl das Originalskript einige Emojis enthielt, um die Ausgabe visueller zu gestalten, ist der praktischste Ansatz in Produktionsumgebungen in der Regel folgender: ein einfaches Textformat beibehalteninsbesondere wenn die Daten anschließend in Excel oder Analysetools importiert werden.

3. Umfassendes rekursives Prüfskript

Das dritte Drehbuch erhöht den Einsatz und übernimmt die Durchführung einer rekursives Audit aller Ordner unter einem gemeinsamen Pfad, wobei Dateien ausgeschlossen werden. Das heißt, es wird nicht nur die erste Ebene überprüft, sondern auch die gesamte Unterordnerstruktur Verwendung Get-ChildItem -Recurse.

Für jeden gefundenen Ordner wird die ACL abgerufen und die Sammlung durchlaufen. .Access Wie in früheren Skripten werden Identität, Rechte, Zugriffstyp und Vererbung exportiert. Die Ergebnisse werden in einer Ausgabedatei (TXT oder CSV) zusammengefasst, die in großen Systemen sehr groß werden kann, aber dennoch einen hohen Nutzen bietet. umfassende Sicht auf die Ressourcensicherheit.

Diese Art von Bericht wird üblicherweise angefordert in formelle Compliance-Audits oder wenn Sie eine gründliche Bereinigung der Berechtigungen durchführen, redundante Zugriffe identifizieren und Gruppen mit übermäßigen Berechtigungen ausfindig machen möchten.

In diesen Fällen wird es dringend empfohlen Führen Sie das Skript in PowerShell als Administrator aus., außerhalb der Stoßzeiten und wenn möglich von einem Server mit guter Verbindung zu Lagerung wo sich die Ordner befinden, um die Ausführungszeiten zu minimieren.

Kostenlose Tools für NTFS-Berichterstellung und Berechtigungsverwaltung

Wenn Sie keine Lust haben, sich mit Skripten auseinanderzusetzen, oder etwas Visuelleres und Benutzerfreundlicheres bevorzugen, das Sie mit Wirtschaftsprüfern und Geschäftsinhabern teilen können, gibt es mehrere Möglichkeiten. kostenlose Hilfsprogramme sehr interessante Berichte, die sich auf NTFS-Berechtigungsberichte konzentrieren.

NTFS Permissions Reporter Free Edition (Cjwdev)

Dieses Tool generiert Berichte über Datei- und Ordnerberechtigungen Das Dokument lässt sich problemlos in HTML exportieren. Es ermöglicht die Auswahl zwischen einer Baum- und einer Tabellenansicht und die Hervorhebung von Berechtigungen in verschiedenen Farben, um schnell zu erkennen, wer welche Zugriffsrechte hat.

Einer seiner Vorteile ist das Der Bericht selbst nennt die Mitglieder der Gruppen.einschließlich verschachtelter Gruppen, wodurch sich die effektiven Berechtigungen einfach anzeigen lassen, ohne jede Gruppe in Active Directory überprüfen zu müssen. Die kostenlose Version ist jedoch auf folgende Zielgruppe ausgerichtet: Berichte nach Ordner und es erlaubt nicht die Erstellung eines Berichts, der sich auf einen bestimmten Benutzer konzentriert.

Die Benutzeroberfläche mag auf den ersten Blick etwas unübersichtlich wirken, da sie so viele Anpassungsmöglichkeiten bietet, aber sobald man sich daran gewöhnt hat, ist sie ein recht benutzerfreundliches Tool. Allerdings ist der Berechtigungsscan... es kann eine Weile dauern in Umgebungen mit vielen Ordnern und langsamen Remote-Pfaden.

Netwrix-Tool zur Berichtserstellung über effektive Berechtigungen

Dieses kostenlose Tool von Netwrix konzentriert sich darauf, einem bestimmten Benutzer oder einer Gruppe deren effektive Active Directory- und Dateifreigabeberechtigungen in einem einzigen Bericht. Außerdem wird angezeigt, ob Berechtigungen explizit oder durch Vererbung zugewiesen wurden, was dazu beiträgt, redundante Zugriffe zu vermeiden.

Die Bedienung ist sehr einfach: Sie geben die Benutzer- oder Gruppenname Das Tool berechnet die zusammengefassten Berechtigungen. Das Ergebnis lässt sich mit wenigen Klicks als HTML exportieren. Die größte Einschränkung besteht darin, dass Es zeigt nicht die Details der Berechtigungen pro Ordner an.Dabei wird auf das kostenpflichtige Produkt Netwrix Auditor für Dateiserver verwiesen.

AccessEnum (Sysinternals, Microsoft)

Das Problem ist, dass Der Export ist nur im .txt-Format möglich.Das Layout ist recht unpraktisch für den Export nach Excel. Um die Datei als .xls- oder .xlsx-Datei zu erhalten, ist in der Regel manuelles Kopieren und Einfügen oder eine weitere Bearbeitung mit Skripten erforderlich.

Berechtigungsberichterstatter (Key Metric Software)

Permissions Reporter bietet eine ähnliche Benutzererfahrung wie Cjwdevs NTFS Permissions Reporter, jedoch mit einem eine modernere und optisch ansprechendere BenutzeroberflächeEs ermöglicht Ihnen, Berichte einfach zu erstellen und herunterzuladen, mit Baumansichten und der Möglichkeit, sie in verschiedene Formate zu exportieren.

Die Hauptbeschränkungen der kostenlosen Version sind folgende: Die Scans könnten etwas langsam sein. in sehr großen Strukturen, und das erzeugt nur Berichte, die sich auf Folgendes konzentrieren Ordner oder DateienNicht für bestimmte Nutzergruppen geeignet. Dennoch ist es eine gute Alternative, wenn man etwas Intuitives sucht.

Berechtigungsanalysator (SolarWinds)

Der Berechtigungsanalysator von SolarWinds ist sehr nützlich, wenn Sie möchten die Berechtigungen eines bestimmten Benutzers im Detail verstehenEs zeigt, wie Berechtigungen vererbt werden und welche Gruppen beteiligt sind. Sie können damit Berechtigungen nach Benutzer oder Gruppe durchsuchen und die Herkunft jedes Zugriffs aufschlüsseln.

Der große Nachteil ist, dass Es erlaubt keinen Export der Ergebnisse.Es ist eher als interaktives Abfragetool denn als formaler Berichtsgenerator konzipiert. Wenn Sie schnell herausfinden müssen, warum ein Benutzer Zugriff auf einen Ordner hat, kann es äußerst nützlich sein.

NTFS-Berechtigungstools (MajorGeeks.com)

Diese Sammlung von Hilfsprogrammen ist eher auf die folgenden Bereiche ausgerichtet: Massenverwaltung von Berechtigungen Es bietet mehr als reine Berichtsfunktionen. Es ermöglicht die gleichzeitige Bearbeitung von ACLs und Sicherheitskonfigurationen in vielen Dateien und Ordnern und spart so Zeit im Vergleich zur standardmäßigen Windows-GUI-Konsole.

Sein Hauptvorteil ist, dass verkürzt die benötigte Zeit Es eignet sich besser zum Ändern großer Berechtigungsstrukturen als die Registerkarte „Windows-Sicherheit“. Es ist weniger ein Berichtstool als vielmehr ein Werkzeug zur schnellen NTFS-Verwaltung.

PowerShell als „Bonus“ für benutzerdefinierte Berichte

Abgesehen von den bereits erwähnten Skripten können Sie jederzeit auf Folgendes zurückgreifen: PowerShell als Schweizer Taschenmesser Sie können Ordner- und Benutzerberechtigungen im CSV-Format exportieren, benutzerdefinierte Berichte für Ihre Umgebung erstellen und diese sogar in andere Überwachungstools integrieren. Datenbanken.

Anhand von Codebeispielen, die von Microsoft und der Community veröffentlicht wurden, lassen sich Skripte erstellen, die Exportberechtigungen nach Pfad, Benutzer, Gruppe oder durch eine Kombination aus all diesen Faktoren, einschließlich Vererbungen, SIDs, Sonderberechtigungen und allen anderen relevanten Spalten.

Schlüsselkonzepte: NTFS, ACL, ACE, Vererbung und Sicherheitsdeskriptoren

Um die Vorteile von NTFS-Berechtigungsberichten voll auszuschöpfen, ist ein klares Verständnis der Grundlegende Sicherheitsbegriffe in WindowsOhne diese Konzepte kann die Interpretation eines komplexen Berichts chaotisch werden.

Das Dateisystem NTFS (New Technology File System) Es ist für die Vergabe erweiterter Berechtigungen für Dateien und Verzeichnisse zuständig. Jedes sichere Objekt (Datei, Ordner, Registrierungsschlüssel, Prozess usw.) verfügt über eine solche Berechtigung. Sicherheitsdeskriptor (SD), welche die SID des Eigentümers, seine primäre Gruppe und zwei Listen enthält: die DACL (Discretionary Access Control List) und die SACL (Systemzugriffskontrollliste).

Eine ACL (Zugriffskontrollliste) Es handelt sich im Wesentlichen um eine Liste von Zugangskontrolleingänge (ACE)Jeder ACE gibt an, welche Berechtigungen einem bestimmten SID (Benutzer oder Gruppe) gewährt werden. werden erlaubt oder verweigert…und worauf sie sich beziehen (nur auf das Objekt, auf seine untergeordneten Objekte oder auf beide). Es gibt drei Haupttypen: Zugriffskontrollausschlüsse (ACEs) für erlaubten Zugriff, Zugriffskontrollausschlüsse (ACEs) für verweigerten Zugriff und Überwachungs-ACEs.

La DACL Es steuert, wer auf eine Ressource zugreift und wer nicht: Wenn ein Objekt keine DACL hat, ist der Zugriff für alle erlaubt (gefährliches Verhalten), während eine leere DACL bedeutet, dass Niemand hat Zugangzu verbessern. SACL Es dient dazu, festzulegen, welche Zugriffsversuche im Sicherheitsprotokoll protokolliert werden sollen (z. B. fehlgeschlagene Leseversuche einer sensiblen Datei).

der Mechanismus Erbe Dadurch werden die in einem Containerobjekt (übergeordnetem Ordner) definierten Zugriffskontrolllisten (ACLs) an seine untergeordneten Objekte weitergegeben. Beim Erstellen einer Zugriffskontrollliste (ACE) können Flags definiert werden, um festzulegen, ob sie für das Objekt selbst, nur für seine untergeordneten Objekte oder für beide gilt. Dies ermöglicht die Gestaltung von Strukturen, in denen Berechtigungen automatisch weitergegeben werden, wodurch der manuelle Verwaltungsaufwand erheblich reduziert wird.

Wo NTFS-Berechtigungen gespeichert werden und wie sie verwaltet werden

Die NTFS-Berechtigungen werden im Masterdateitabelle (MFT) des NTFS-Volumes. Diese Tabelle fungiert als eine Art interne Datenbank, in der Metadaten für jede Datei und jeden Ordner gespeichert werden, einschließlich des Sicherheitsdeskriptors (und damit der zugehörigen DACL und SACL).

Wenn Sie zuweisen Berechtigungen für eine Datei oder ein Verzeichnis durch die Registerkarte Sicherheit unter Windows oder über Befehle als icaclsTatsächlich wird der Sicherheitsdeskriptor des Objekts in der MFT geändert. Das Betriebssystem verwendet diese Daten, um Zugriff erlauben oder verweigern zur Laufzeit.

Über die grafische Benutzeroberfläche lassen sich Berechtigungen standardmäßig verwalten, indem man mit der rechten Maustaste auf die Datei oder den Ordner klickt und dann zu Eigenschaften > SicherheitDort können Sie Benutzer und Gruppen hinzufügen oder entfernen und Berechtigungen wie Vollzugriff, Ändern, Lesen und Ausführen, Lesen oder Schreiben zuweisen.

Auf älteren Systemen oder bei Verwendung einfacher Freigabefunktionen wird die Registerkarte „Sicherheit“ möglicherweise erst angezeigt, nachdem Sie die Sicherheitsfunktion deaktiviert haben. „einfache Dateiübertragung“ in den Ordneroptionen. In modernen Domänenumgebungen ist diese Registerkarte standardmäßig verfügbar und dient als Zugangspunkt für einen Großteil der Berechtigungsverwaltung.

Erweiterte Befehle: TAKEOWN und ICACLS

Für Szenarien, in denen dies erforderlich ist massenhaft in Besitz nehmen von Dateien oder um Berechtigungen massenhaft neu zuzuweisen, bietet die Windows-Shell die entsprechenden Befehle. takeown e icaclssehr nützlich, wenn die grafische Benutzeroberfläche unzureichend oder zu langsam ist.

Ein gängiges Muster ist beispielsweise die Ausführung von etwas wie takeown /F "%SYSTEMDRIVE%\*" /R /D S, was darauf hindeutet, dass der aktuelle Benutzer zu rekursiver Besitzer aller Dateien und Ordner von der Systemfestplatte. Der Modifikator /R wendet die Operation auf Unterverzeichnisse an, und /D S Erzwingen Sie positive Antworten in interaktiven Aufgaben.

Dann kann es verwendet werden icacls "%SYSTEMDRIVE%\*" /grant Administradores:(D,WDAC) /T den Administratoren gewähren spezifische Genehmigungen wie z. B. das Löschen (D) oder das Schreiben der DACL (WDAC) über die gesamte Festplatte, unter Verwendung /T Die Operation auf alle Elemente des Baums anwenden.

Der Befehl icacls Es ermöglicht Ihnen, zusammenfassende Berechtigungen (z. B. F für Vollzugriff, M für Ändern, RX für Lesen und Ausführen) oder detailliertere Berechtigungen (Löschen, Attribute lesen, Eigentümer schreiben usw.) sowie verschiedene Vererbungsmodi anzugeben:

• OI (Objektvererbung): Vererbung an Dateien.
• CI (Container Inherit): Vererbung an Unterordner.
• IO (Nur Vererbung): Die ACE gilt nur für Kinder, nicht für das aktuelle Objekt.
• NP (Nicht-Propagieren)Sie breiten sich nicht über die nächste Ebene hinaus aus.

Durch die Kombination dieser Parameter lassen sich sehr präzise Vererbungsregeln erstellen und automatisieren. wesentliche Änderungen der Berechtigungen in kontrollierter Weise, stets unter der logischen Vorsichtsmaßnahme, vorher Tests in Laborumgebungen durchzuführen.