- Juurdepääsu kontrollimiseks on oluline erinevus jagatud ressursiõiguste ja NTFS-i turvaõiguste vahel.
- IIS-keskkondades ja failiserverites minimaalsete õiguste rakendamine turvanõrkuste vältimiseks.
- Auditeerimisvahendite ja PowerShelli skriptide kasutamine ACL-ide haldamiseks keerukates kaustastruktuurides.
Kaustade turvalisuse haldamine Windowsis võib alguses tunduda hirmutav, kuid NTFS-õiguste valdamine on volitamata juurdepääsu vältimiseks ülioluline. Põhimõtteliselt hõlmab see otsustamist, kes saab teie kõvakettal olevaid faile lugeda, kirjutada või kustutada, tagades, et teie arvuti või serveri kriitilised andmed on inimlike vigade või volitamata juurdepääsu eest hästi kaitstud.
Olenemata sellest, kas seadistate veebiserverit IIS-iga, haldate kontorivõrku Windows Serveriga või konfigureerite lihtsalt oma masinat Windows 11 Pro-ga, on jagamis- ja turvaõiguste erinevuse mõistmine esimene samm pettumuse vältimiseks. Selles artiklis selgitame, kuidas seda kõike konfigureerida, et muuta teie süsteem töökindlaks ja tõhusaks.
Faili- ja veebiserverite õiguste haldamine
Jagatud hostimiskeskkondades või failiserverites töötades ei piisa ainult kausta avamisest; strateegilist lukustust tuleb rakendada nii jagatud ressursile kui ka füüsilise ketta teedele. Näiteks hostimisarhitektuuris on tavaline, et saidi juurkaust (wwwroot) annab administraatoritele ja süsteemile täieliku kontrolli, samas kui rakenduste kogumi kasutajal on ainult lugemisõigused, et takistada häkkeril saidi koodi muutmist.
Vealogide puhul peab turvalisus olema veelgi rangem. Ideaalis peaksid need kaustad asuma väljaspool veebi juurkataloogi , et ükski uudishimulik külastaja ei saaks neile brauseri kaudu ligi, piirates juurdepääsu ainult süsteemipersonalile ja administraatoritele tõrkeotsingu eesmärgil.
Juurdepääsu seadistamise samm-sammult juhend
Kui soovite kausta võrgus jagada, on esimene samm minna menüüsse „Atribuudid“ ja seejärel valikule „ Täpsem jagamine“ . Siin saate määrata, kellel on võrgus kaustale juurdepääs. Väga kasulik nipp on lisada jagamisnime lõppu dollarimärk ($) , et see jääks peidetuks ega ilmuks üldistes võrguotsingutes.
Kui olete jagatud ressursi barjääri ületanud, sisenete vahekaardile Turvalisus (NTFS) . Siin toimubki tõeline maagia. Klõpsates nupul „Muuda“, saate lisada konkreetseid kasutajaid või rühmi ja määrata neile rollid, näiteks „Muuda“, „Lugemine ja käivitamine“ või „Täielik kontroll“ . Pidage meeles, et NTFS-i õigused on lõppkokkuvõttes ülimuslikud; kui jagatud ressurss ütleb „Jah“, aga NTFS-i turvalisus ütleb „Ei“, lukustatakse kasutaja välja.
Azure AD ja Entra ID väljakutse Windows 11 Pro-s
Mõnikord, kui ühendate arvuti organisatsiooniga Microsoft 365 ettevõttekonto abil (ilma Intune'ita), proovite vahekaardil Turvalisus kasutajaid lisada, kuid Azure AD või Entra ID üksusi ei kuvata. See juhtub seetõttu, et identiteedihaldus pilves töötab teisiti kui kohapealsed Active Directory domeenid. Sellistel juhtudel ei lahenda süsteem pilve nimesid alati samamoodi nagu traditsiooniline domeenikontroller , mis võib nõuda käsitsi juurdepääsuhaldust või spetsiifilisi poliitikaid.
Täiustatud konfiguratsioonid ja kriitilised juhtumid
Spetsiaalsete veebiserverite (nagu IIS) puhul on oluline määrata minimaalsed õigused . Näiteks staatilise HTML-sisu edastamiseks peaksid IUSR-kontol ja kasutajate rühmal olema ainult lugemis- ja täitmisõigused . Anonüümsetele kontodele kirjutamisõiguse andmine pole kunagi soovitatav, kuna see loob tohutu turvanõrkuse.
Teine keeruline probleem tekib siis, kui soovime, et kasutajad saaksid faile luua ja muuta, kuid mitte neid kustutada . Selle saavutamiseks peame keelama õiguste pärimise ja konfigureerima selgesõnalised reeglid. Levinud probleem on see, et kustutamisloa keelamine blokeerib mõnikord ka failide ümbernimetamise või muudatuste salvestamise Wordis ja Excelis, kuna need rakendused loovad ajutisi faile, mille nad seejärel kustutavad. Selle lahendamiseks on soovitatav juurdepääsuloendeid (ACL-e) PowerShelli abil peenhäälestada , tagades, et kustutamise keelamine ei sega andmete kirjutamist.
Auditeerimis- ja aruandlusõiguste tööriistad
Kui kaustastruktuur on tohutu, on kasutajate kaupa kontrollimine enesetapumissioon. Tasuta tööriistad, näiteks SysInternalsi AccessEnum, pakuvad kiiret tabelivaadet, samas kui NTFS Permissions Reporter võimaldab eksportida visuaalselt meeldivaid HTML-aruandeid. Professionaalsema lahenduse saamiseks pakuvad tasulised valikud, näiteks Netwrix Auditor, täielikku ülevaadet sellest, kes mida on muutnud, ja suudavad tuvastada kahtlaseid õiguste eskaleerumisi.
Konsoolihuvilistele, Microsofti PowerShell See on ülim tööriist. Skriptide kaudu, mis kasutavad Get-Acl y Set-AclAuditeid saab automatiseerida ja kõiki turvaseadeid saab eksportida CSV-faili, mis hõlbustab oluliselt vastavusülevaateid, näiteks PCI DSS või HIPAA.
NTFS-süsteemi kohta korduma kippuvad küsimused
Paljud inimesed imestavad, kus kogu see teave tegelikult salvestatakse. Õigused asuvad põhifailide tabelis (MFT) , mis on sisuliselt ketta andmebaas, kus salvestatakse iga faili metaandmed ja turbekirjeldused. Dokumendile juurde pääsenud isikute auditeerimiseks peate esmalt lubama objektide auditeerimise vahekaardil Täpsem turvalisus ja seejärel vaatama üle Windowsi sündmustevaaturi, otsides täpsemalt sündmuse ID-d 4663.
Windowsi korralik turvalisuse haldamine hõlmab tasakaalu toimivuse ja kaitse vahel. Alates turberühmade kasutamisest individuaalsete õiguste määramise vältimiseks kuni pärimise korrektse konfigureerimise ja analüüsitööriistade kasutamiseni on eesmärk alati rakendada minimaalsete õiguste põhimõtet , tagades, et igal kasutajal on ainult tema igapäevaseks tööks hädavajalik juurdepääs, ilma et see kahjustaks süsteemi terviklikkust.
Kirglik kirjanik baitide maailmast ja üldse tehnoloogiast. Mulle meeldib jagada oma teadmisi kirjutamise kaudu ja just seda ma selles ajaveebis teengi, näitan teile kõike kõige huvitavamat vidinate, tarkvara, riistvara, tehnoloogiliste suundumuste ja muu kohta. Minu eesmärk on aidata teil digimaailmas lihtsal ja meelelahutuslikul viisil navigeerida.