Speciális NTFS és megosztási engedélykezelés Windows rendszerben

La adatbiztonság Windows szervereken Ez nagymértékben függ az NTFS-engedélyek és a megosztási engedélyek konfigurálásától. Ha azt szeretné, hogy a felhasználók csak ahhoz férhessenek hozzá, amihez kell, és semmi többhöz, akkor alaposan meg kell értenie, hogyan működik együtt ez a két réteg, és hogyan öröklődnek az engedélyek a mappákon belül.

Amikor megosztott erőforrásokkal kezdünk dolgozni, nagyon gyakori, hogy összezavarodunk: adunk Teljes hozzáférés a Megosztás laponA Biztonság lapon azonban csak Olvasási hozzáférést adsz, és természetesen már nem tudhatod, melyik engedély élvez elsőbbséget. Továbbá olyan fogalmak is szerepet játszanak, mint az explicit engedélyek. jogosultságok örökléseSpeciális jogosultságok és az örök kérdés, hogy a szülő- vagy a gyermekerőforrást jobb-e módosítani. Pontosan ezt fogjuk lépésről lépésre és részletesen megvizsgálni.

NTFS alapjai és megosztási engedélyek

A technikai alap egyszerű: Az NTFS a Windows modern fájlrendszere (a Windows NT-től kezdve jelen van), és ez teszi lehetővé a fejlett jogosultságokat, az öröklést, a naplózást és a titkosítást fájl- és mappaszinten, míg a régi FAT/FAT32 sokkal korlátozottabb biztonsággal rendelkezik.

sok Az NTFS jogosultságok szabályozzák mind a helyi, mind a távoli hozzáférést az NTFS köteteken tárolt fájlokra; azaz mind a szerver előtt ülő felhasználót, mind a hálózaton keresztül belépő másik felhasználót érintik, feltéve, hogy mindkettőjük Windows-fiókkal hitelesíti magát.

Másrészt a A megosztási engedélyek csak hálózaton keresztüli hozzáférés esetén érvényesek. egy megosztott mappához; ezek egyáltalán nem befolyásolják, ha valaki közvetlenül a szerverkonzolról nyitja meg a mappát, és nem teszik lehetővé a részletességet a megosztáson belül sem (nem lehet eltérő engedélyed egy almappához csak ezzel a réteggel).

Ez a kétrétegű rendszer biztosítja, hogy egy NTFS-köteten található megosztott erőforrás hálózaton keresztüli elérésekor az adatok mindig egyesüljenek. megosztási engedélyek + NTFS-engedélyekÉs ezt a kombinációt egy nagyon világos aranyszabály szabályozza: a tényleges eredmény mindig a kettő közül a legszigorúbb engedély.

NTFS engedélytípusok: alap és haladó

Amikor megnyit egy fájl vagy mappa Biztonság lapját, először a következő jelenik meg: alapvető NTFS-engedélyekamelyek a speciális engedélyek előre megtervezett kombinációi, így nem kell egyesével bejelölni a négyzeteket.

A leggyakoribb alapvető engedélyek között olyan opciókat talál, mint például Teljes hozzáférés, Módosítás, Olvasás és végrehajtás, Olvasás, Írás vagy akár a Mappa tartalmának megjelenítése lehetőséget is; ezek mindegyike belsőleg egy részletesebb jogkészletet eredményez.

Ha belépsz a speciális beállításokba, megtalálod a teljes listát részletes NTFS-engedélyekamelyek azok, amelyek valóban meghatározzák, hogy a felhasználó milyen műveleteket hajthat végre egy adott fájlon vagy mappán.

Ezeken a speciális engedélyeken belül számos nagyon fontos jog található, például Mappa böngészése / Fájl végrehajtása, Mappa listázása / Adatok olvasása, Attribútumok olvasása és Kiterjesztett attribútumok olvasásaamelyek együttesen határozzák meg, hogy mi látható és olvasható a fájlrendszerben.

Más részletes engedélyek az írási és módosítási képességekre összpontosítanak, például Fájlok létrehozása / Adatok írása, Mappák létrehozása / Adatok hozzáadása, Attribútumok írása és Kiterjesztett attribútumok írásaamelyek meghatározzák, hogy a felhasználó létrehozhat-e új elemeket, módosíthat-e meglévő fájlokat, vagy módosíthatja-e a metaadatokat.

A speciális engedélyek táblázatának legérzékenyebb része azokat tartalmazza, amelyek a törlést és a biztonságot befolyásolják, például Almappák és fájlok törlése, Törlés, Engedélyek módosítása, Tulajdonjog átvétele, Engedélyek megtekintése és Szinkronizálásmert rajtuk múlik, hogy a felhasználó törölhet-e adatokat, vagy akár átveheti-e az irányítást egy erőforrás felett.

Ha ezeket a speciális engedélyeket összeveted az alapvetőekkel, látni fogod, hogy például A teljes kontroll magában foglalja az összes jogot.Míg az olyan jogosultságok, mint az Olvasás vagy az Írás, csak egy részhalmazát tartalmazzák ezeknek, lehetővé téve a hozzáférési szint nagyon pontos beállítását.

Öröklődés, explicit jogosultságok és speciális kezelés

A fejlett menedzsment egyik pillére a következők jó ismerete: engedélyöröklés NTFS-benVagyis hogyan terjednek át a szülőmappában definiált jogosultságok az almappákra és a gyermekfájlokra.

Alapértelmezés szerint, amikor egy tárolóként funkcionáló mappára vonatkozóan konfigurál engedélyeket, minden gyermekobjektum örökli ezeket a jogosultságokatEz nagyon kényelmes, mert jelentősen csökkenti az adminisztratív munkát a nagyszámú mappával és dokumentummal rendelkező struktúrákban.

A felülről érkező engedélyeket figyelembe veszik örökölt jogosultságok, míg azokat, amelyeket közvetlenül egy adott fájlra vagy almappára definiálsz, függetlenül a szülőtől, explicit jogosultságoknak nevezzük.

Komplex forgatókönyvekben gyakran nem kell megszakítani a régit; elegendő egyszerűen újakat hozzáadni. explicit engedélyek megadása vagy megtagadása meghatározott szinteken bizonyos érzékeny mappák biztonságának finomhangolására.

Vannak azonban olyan esetek, amikor célszerű megtörni az örökséget Mert a struktúra egy pontján "tiszta lappal" akarsz kezdeni, és egy teljesen más jogosultsági modellt definiálni az adott ághoz.

A szülőmappa szempontjából felülbírálhatja az öröklődést a következő speciális beállítások bejelölésével: „Az összes gyermekobjektum jogosultságbejegyzésének cseréje az objektum örökölhető jogosultságaira”, amely az újonnan definiált jogosultságokat a teljes alsó fára kiterjeszti.

A gyermek szemszögéből közvetlenül letilthatja az öröklődést az adott erőforráson, és ekkor a rendszer megkérdezi, hogy szeretné-e örökölt jogosultságok konvertálása explicit jogosultságokká vagy teljesen eltávolítani őket, hogy üres ACL-lel újrakezdhessük.

Ha úgy dönt, hogy konvertálja őket, az aktuális beállításokat explicit jogosultságokként fogja megőrizni, amelyeket később módosíthat; ha úgy dönt, hogy eltávolítja őket, akkor a következőképpen kell eljárnia: Minden új engedély manuális meghatározásaEz nagyobb kontrollt biztosít, de nagyobb odafigyelést igényel a jogos hozzáférés blokkolásának elkerülése érdekében.

Megosztási engedélyek: szintek és beállítások

A hálózati síkon a A megosztási engedélyek szabályozzák, hogy ki férhet hozzá egy megosztott erőforráshoz és mit tehet csatlakozás után, feltéve, hogy a hozzáférés távoli (UNC-n, leképezett meghajtókon stb. keresztül).

Ezek az engedélyek a következőkre vonatkoznak: a megosztott mappán belüli összes fájl és mappa, anélkül, hogy különbséget tennének az almappák között, így nem teszik lehetővé ugyanolyan mértékű részletességet, mint az NTFS, bár FAT vagy FAT32 köteteken érvényesek.

A megosztott mappa klasszikus szintjei a következők: Olvasás, módosítás és teljes hozzáférésmindegyik egy sor képességgel rendelkezik: elemek megtekintése, módosítása, hozzáadása vagy törlése, és Teljes hozzáférés esetén az NTFS-engedélyek kezelése magán a megosztáson.

Alapértelmezés szerint mappa megosztásakor a csoport Mindenkinek van olvasási jogosultsága, míg a Rendszergazdák csoport általában teljes hozzáféréssel rendelkezik, bár védett környezetekben ez a beállítás szigorúan korlátozott.

Ezen engedélyek konfigurálásához nyissa meg a mappa tulajdonságait, a Megosztás lapot, és használja a beállításokat a következőhöz: Speciális megosztás a megosztott erőforrás elnevezéséhez (azzal a lehetőséggel, hogy elrejtse egy $ jellel a végére), és az adott csoportok és felhasználók engedélyeinek meghatározásához.

Az NTFS és a megosztási engedélyek kölcsönhatása

A kulcs az őrület elkerüléséhez annak megértése, hogy amikor egy felhasználó bejelentkezik hálózaton keresztül egy NTFS köteten található mappábaKét biztonsági szűrőt alkalmaznak: először a megosztási engedélyt, majd az NTFS engedélyt.

Az ökölszabály nagyon világos: A tényleges eredmény mindig a legszigorúbb engedély lesz. ami a kettő kombinációjából fakad, azaz amit az egyik réteg tagad, azt a másik nem tudja megadni, még akkor sem, ha megengedőbb.

Képzeld el, hogy megadsz egy felhasználónak Teljes hozzáférés a Megosztás lapon, de csak írásvédett a Biztonság laponEbben az esetben, bár a megosztott erőforrás azt mondja, hogy a felhasználó mindent megtehet, az NTFS csak olvasásra jogosítja fel, így a tényleges engedély csak olvasható lesz.

Ha az ellenkezője történne – például módosítás vagy teljes hozzáférés NTFS-ben, és csak olvasás a megosztásban –, akkor a felhasználó is csak arra lenne korlátozva, amit a megosztás engedélyez, ami kevésbé megengedő, mint az NTFS ACL.

Emiatt sok adminisztrátor a távozás stratégiáját választja. viszonylag széleskörű megosztási jogosultságok (például Teljes hozzáférés a rendszergazdáknak és Módosítás a tartományi felhasználóknak), és az összes finomkorlátozási logikát kizárólag NTFS-engedélyekkel alkalmazza.

A megosztási engedélyek és az NTFS gyakorlati konfigurálása

Fájlszerver tervezésekor gyakori, hogy egyértelmű mappastruktúrát követnek, például valami hasonlót, mint például E:\Tartalom fizikai mappaként, amelyet aztán egy hálózati megosztáson keresztül tesznek közzé \server\share$ néven.

A megosztási rétegben logikus, hogy olyan csoportok legyenek, mint például Tartományi rendszergazdák és gépfiókok teljes hozzáféréssel rendelkeznek, és hogy a domain felhasználók legalább módosítási jogosultsággal rendelkeznek, ha módosítani kívánják a tartalmat.

Ezután az E:\Content fizikai mappán az NTFS jogosultságok általában a következőre korlátozódnak: Adminisztrátorok és teljes hozzáféréssel rendelkező rendszergazdákvégfelhasználók hozzáadása nélkül, mivel a valódi szűrés a mappastruktúra mélyebb szintjein történik.

Ezen a gyökéren belül webhelyenként vagy felhasználónként meghatározott konténereket adhatsz meg, például E:\Tartalom\ahol teljes hozzáférést biztosít a rendszergazdáknak és a rendszergazda jogosítványoknak, valamint csak olvasási vagy tartalomlista-engedélyeket a webhely tulajdonosának, ha csak megtekintheti, de nem módosíthatja a mappát.

A weboldal fő mappájában például E:\Tartalom\ \wwwrootA teljes hozzáférést általában a rendszergazdák és a rendszer kapja, a teljes hozzáférést a webhely tulajdonosa, az olvasási jogosultságokat pedig a webhely tulajdonosa. IIS alkalmazáskészlet identitáshogy az oldal megfelelően működjön anélkül, hogy a szükségesnél több engedélyt adna ki.

A naplómappákat mindig ajánlott a web gyökérkönyvtár felett elhelyezni, például E:\Tartalom\ \Naplók, teljes hozzáféréssel a rendszergazdák és a rendszer számára, valamint szabályozott hozzáféréssel (általában olvasás vagy olvasás és írás a napló típusától függően) a webhely tulajdonosa vagy a naplókat író szolgáltatásfiókok számára.

Lépésről lépésre útmutató: megosztási engedélyek

Új megosztott erőforrás létrehozásához először keresse meg a közzétenni kívánt mappát, kattintson rá a jobb gombbal, és nyissa meg a beállításokat. mappa tulajdonságait, ahol megtalálod a Megosztás fület.

Innen rákattinthatsz Speciális megosztásItt konfigurálhatja a megosztott erőforrás nevét, az egyidejű felhasználók maximális számát és mindenekelőtt a megosztási engedélyek listáját.

Az UAC-t engedélyező környezetekben a Windows kérheti a folytatás megerősítését, mert A megosztott erőforrások módosításához emelt szintű jogosultságok szükségesek.A konfigurálás folytatásához el kell fogadnia az értesítést.

Miután megnyitottad a Speciális megosztás lehetőséget, bejelölöd a jelölőnégyzetet. „Mappa megosztása”Ön határozza meg a nevet (ha el szeretné rejteni, tegyen egy $ jelet a végére), és ha szükségesnek tartja, adjon hozzá egy leíró megjegyzést az erőforrás azonosításához.

Ezután megnyomod a gombot jogosultságok A felugró ablakban eltávolíthatja a Mindenki csoportot, ha az alapértelmezés szerint megjelenik, és helyette hozzáadhatja a megfelelő felhasználókat és csoportokat, akiknek hozzáférést szeretne adni, majd a szerepkörüknek megfelelően olvasási, módosítási vagy teljes hozzáférési jogot rendelhet hozzájuk.

Lépésről lépésre útmutató: NTFS-engedélyek és speciális engedélyek

Az NTFS-engedélyek mappaszerkezetre való konfigurálásához térjen vissza a Objektum tulajdonságai (fájl vagy mappa), de ezúttal a Biztonság lapra lép, ahol a felhasználók és csoportok listáját láthatja a megadott vagy megtagadott engedélyekkel együtt.

Innen rákattinthatsz Szerkesztése Új bejegyzések hozzáadásához, meglévők módosításához vagy törléséhez ez a mező határozza meg a kiválasztott erőforrásra vonatkozó alapvető jogosultságokat (Olvasás, Módosítás, Teljes hozzáférés stb.).

Ha finomabb vezérlést szeretne, kattintson a AvanzadoEzzel a speciális biztonsági beállítások ablakába jut, ahol külön lapokon találhatók az engedélyek, az öröklés, a tulajdonjog és a naplózás.

A Speciális engedélyek lapon kattintson a Engedélyek módosítása Az egyes bejegyzések részletes módosításához az „Alkalmazás” részben válassza ki, hogy a bejegyzés csak erre a mappára, erre a mappára és almappáira, gyermekfájlokra vagy az összes lehetséges kombinációra vonatkozik-e.

A speciális engedélyek részben láthatod a korábban említett jelölőnégyzetek teljes listáját (Mappa/végrehajtható fájl bejárása, Mappalista/adatok olvasása, Attribútumok olvasása, Fájlok létrehozása, Törlés, Engedélyek módosítása, Tulajdonjog átvétele stb.), amelyeket a következőképpen választhatsz ki: Engedélyezés vagy elutasítás.

Ha azt szeretné, hogy az almappák és fájlok pontosan ugyanazokat a beállításokat örököljék, akkor kiválaszthatja a Ezeket az engedélyeket csak az adott konténeren belüli objektumokra és/vagy konténerekre alkalmazzabiztosítva, hogy az imént definiált ACL replikálva legyen attól a ponttól lefelé.

Miután befejezte a különböző NTFS jogosultságbejegyzések beállítását, ajánlott bejelölni a jelölőnégyzetet. „Az összes gyermekobjektum-engedély cseréje az objektum örökölhető engedélyeire” ha a szándékod az, hogy teljesen egységesítsd a biztonságot az egész alsóbb ágon.

Ajánlott eljárások a speciális engedélykezeléshez

Annak érdekében, hogy az engedélykezelés ne váljon kontrollálhatatlan káoszzá, elengedhetetlen a következők betartása: a legkisebb privilégium elve (PoLP)minden felhasználónak csak a napi munkájához szükséges jogosultságokat adja meg, semmi többet.

Alapvető ajánlás az csoportokhoz, ne pedig egyéni felhasználókhoz rendeljen jogosultságokatKivéve nagyon kivételes eseteket, mivel így elegendő a csoporttagságot módosítani, amikor egy felhasználó pozíciót vált, anélkül, hogy minden egyes ACL-t egyenként át kellene tekinteni.

Az is jó ötlet, ha ugyanabba a mappába csoportosítod őket. hasonló biztonsági követelményekkel rendelkező erőforrásokEz lehetővé teszi egy gyökérmappa megosztását és az alatta lévő konzisztens NTFS-engedélyek alkalmazását ahelyett, hogy több tucat apró, nehezen karbantartható megosztást hozna létre.

A speciális csoportokkal kapcsolatban különösen óvatosnak kell lenni Mindenki és az adminisztrátorokJavasoljuk, hogy a lehető legnagyobb mértékben korlátozza a széleskörű hozzáférést, és tartsa alacsonyan és ellenőrzötten a rendszergazdai tagságot, külön fiókokat használva az adminisztratív feladatokhoz.

Az öröklés és a kifejezett megtagadások tekintetében fontos, hogy ne éljünk vissza velük Engedélyek megtagadása, kivéve, ha feltétlenül szükségesmivel nehezen diagnosztizálható mellékhatásokat generálhatnak, különösen beágyazott csoportok és mély mappastruktúrák esetén.

Hatékony hibaelhárítás és jogosultságok

Amikor egy felhasználó nem fér hozzá egy olyan erőforráshoz, amelyet látnia kellene, vagy éppen ellenkezőleg, a kelleténél több hozzáférése van, az általában a következők miatt van: sérült vagy helytelenül örökölt jogosultságok, vagy beágyazott csoportok és árva SID-k jelenléte az ACL-ekben.

A diagnózis megkezdésének praktikus módja a natív vagy harmadik féltől származó eszközök használata, például AccessChk, egy adott felhasználó fájlra vagy mappára vonatkozó érvényes engedélyeinek ellenőrzéséhez, figyelembe véve az összes olyan csoportot, amelyhez tartoznak.

Célszerű gondosan ellenőrizni, hogy vannak-e ismeretlen biztonsági azonosítók (feloldatlan SID-k) a hozzáférés-vezérlési listákban; és ha szükséges, NTFS jogosultságjelentések generálása elemezni őket, mivel általában törölt fiókoknak felelnek meg, amelyek nyomokat hagytak, és bonyolíthatják az ACL értelmezését.

Egy másik ellenőrizendő pont kié az erőforrásMivel a tulajdonos akkor is képes módosítani az engedélyeket, ha az ACL korlátozónak tűnik, néha a rendszergazdának kell birtokba vesz egy aktát vagy mappát a konfiguráció javításához.

Összetett struktúrákban célszerű feltérképezni a mappahierarchiát, és áttekinteni, hogy hol hibásodott meg az öröklődés, vagy hol alkalmaztak explicit megtagadásokat, hogy azonosítani lehessen azt a szintet, amely a felhasználó által tapasztalt jogosultságütközést okozza.

Általános stratégia: NTFS kontra megosztási engedélyek

A legtöbb üzleti környezetben a legjobb gyakorlat az, hogy elsősorban NTFS-engedélyekre támaszkodnak A biztonság finomabb részleteit illetően, mivel ezek mind a helyi, mind a távoli hozzáférésre vonatkoznak, és fájlok és almappák tekintetében nagyon részletes ellenőrzést tesznek lehetővé.

A megosztási engedélyeket a következőképpen használják: általános hálózaton keresztüli vezérlőrétegEz különösen igaz azokra a rendszerekre, ahol vannak olyan FAT/FAT32 kötetek, amelyek nem támogatják az NTFS-t, vagy a kis irodákban, ahol az erőforrásokhoz csak távolról lehet hozzáférni, és az adminisztráció egyszerűbb.

A két réteg kombinálásával ideális esetben a megosztást viszonylag nyitott módon konfigurálják a hozzáférést igénylő csoport számára (például a „Módosítás” lehetőséget a domain felhasználók számára), és Finomítsa az NTFS-engedélyeket a lehető legjobban hogy egyértelműen elválasszuk, ki olvashatja, ki módosíthatja és ki kezelheti.

Mindig fontos szem előtt tartani, hogy átfedés esetén A legszigorúbb engedély lesz az irányadóEzért nincs értelme teljes hozzáférést adni a megosztáshoz, ha az NTFS csak olvasást engedélyez, vagy fordítva, elvárni, hogy egy csak olvasható megosztás engedélyezze a módosítást, mivel az NTFS megengedőbb.

Sok felhasználóval és szerepkörrel rendelkező szervezetekben nagyon hasznos lehet támaszkodni a következőkre: Szerepköralapú hozzáférés-vezérlési (RBAC) modellek és olyan eszközökben, mint az Active Directory, a SolarWinds ARM, a Netwrix vagy más harmadik féltől származó megoldások, az engedélyek kiosztásának automatizálása és annak rendszeres áttekintése érdekében, hogy kinek mihez van hozzáférése.

A fejlett NTFS-engedélykezelés, a megosztási engedélyek konzisztens konfigurációjával, az átgondolt öröklődéssel és a csoportok és szerepkörök fegyelmezett használatával kombinálva lehetővé teszi egy olyan rendszer kiépítését, amely... robusztus, rugalmas és kezelhető biztonsági modell amely védi az adatokat, megkönnyíti a napi munkát és minimalizálja a jogosulatlan hozzáférésből vagy váratlan blokkolásokból eredő meglepetéseket.