- „EFSDump“ leidžia lengvai audituoti prieigą prie EFS užšifruotų failų iš komandinės eilutės. komandos.
- Tai lengvas, paprastas įrankis, suderinamas su šiuolaikinėmis versijomis Windows, idealiai tinka specialistams, kurie valdo saugumą aplinkoje NTFS.
- Jame integruotos galingos parinktys, skirtos peržiūrėti naudotojų teises ir atkūrimo agentus, susietus su apsaugotais failais.
Šiame straipsnyje išsamiai paaiškinsiu, kas yra „EFSDump“, kam jis naudojamas, kaip jis veikia viduje ir kada jis gali išsigelbėti administruojant sistemą. Nesvarbu, ar esate IT specialistas, saugumo specialistas, ar tiesiog patyręs vartotojas, norintis suprasti kiekvieną prieigos kontrolės EFS detalę, tai išsamiausias ir praktiškiausias vadovas ispanų kalba, kuriame integruota visa svarbi informacija iš techninių šaltinių ir pateikiami aiškūs bei struktūrizuoti patarimai. Pasiruoškite įvaldyti šį įrankį ir iš tikrųjų kontroliuoti savo duomenų apsaugą sistemoje „Windows“.
Kas yra EFSDump ir kam jis naudojamas?
„EFSDump“ yra maža komandinės eilutės programa, kurią sukūrė „Sysinternals“, dabar priklausanti „Microsoft“, ir kurios tikslas labai paprastas: nedelsiant ir automatiškai parodyti paskyrų (vartotojų ir atkūrimo agentų), kurios gali pasiekti failus, užšifruotus naudojant EFS NTFS tomuose, sąrašą. Prieš „EFSDump“, norint patikrinti EFS teises keliuose failuose ar kataloguose, reikėjo naudoti „Windows Explorer“ ir po vieną naršyti kiekvieno failo išplėstinių ypatybių skirtukus – tai rankinis, varginantis ir labai klaidų kupinas procesas, kai dirbama su dideliais duomenų kiekiais.
„EFSDump“ dėka tai galite atlikti greitai ir dideliais kiekiais tiesiai iš konsolės, filtruodami pagal pavadinimus, plėtinius ar net taikydami pakaitos simbolius keliams. Tai iš esmės tikslus ir paprastas sprendimas bet kokiai užduočiai, susijusiai su užšifruotų failų peržiūros ar audito prieigai įmonės ar asmeninėje aplinkoje.
- Atsisiųsti iš oficialaus portalo „Microsoft Sysinternals“Tai nemokama, o atsisiuntimo dydis yra mažesnis nei 200 KB.
Kontekstas: EFS sistemoje „Windows“ ir jos problemos
Nuo „Windows 2000“ versijos į NTFS buvo integruota šifravimo failų sistema (EFS) , leidžianti vartotojams apsaugoti slaptą informaciją nuo neteisėtos prieigos. Vidinis EFS veikimas yra gana kruopštus: kiekvienas užšifruotas failas savo antraštėje turi tai, ką galima būtų pavadinti „slaptais laukais“ (DDF ir DRF), kuriuose saugomi failų šifravimo raktai (FEK) , apsaugoti viešojo rakto kriptografija kiekvienam įgaliotam vartotojui, kartu su atkūrimo laukais, susietais su įmonės politikos paskirtais atkūrimo agentais.
Tai reiškia, kad daugiau nei vienas vartotojas ir daugiau nei vienas agentas gali turėti efektyvią prieigą prie kiekvieno užšifruoto failo . Nepakanka, kad failas būtų „žalias“ arba kad jūs būtumėte jo savininkas: administratorius gali netyčia suteikti prieigą kitiems vartotojams ar paslaugoms per klaidą ar per neapsižiūrėjimą. Būtent čia „EFSDump“ tampa idealiu įrankiu, leidžiančiu greitai išvardyti visus efektyvius leidimus, susijusius su kiekvienu užšifruotu failu.
Kokią informaciją teikia EFSDump?
Kai paleidžiate „EFSDump“ failą arba failų rinkinį, gaunate aiškų visų su to failo šifravimu susijusių vartotojų, paslaugų paskyrų ir atkūrimo agentų sąrašą . Viduje programa išgauna duomenis naudodama specialią „QueryUsersOnEncryptedFile “ API , kuri iš tikrųjų „skaito tarp eilučių“ NTFS antraštės metaduomenyse, kad sužinotų, kas gali iššifruoti turinį.
Todėl įrankis pateikia jums tokią informaciją kaip:
- Vartotojai, turintys tiesioginę prieigą prie užšifruoto failo (tie, kurie iš pradžių jį užšifravo, arba tie, kuriems buvo suteikta papildoma prieiga)
- Iš anksto nustatyti atkūrimo agentai (konfigūruota vietinėje saugos politikoje arba sistemos administratoriaus)
- Kiekvienos paskyros tapatybė (pavadinimas ir, jei taikoma, apsaugos identifikatorius arba SID)
Tai leidžia tiek sistemos administratoriams, tiek patyrusiems vartotojams aptikti netinkamas konfigūracijas, nepageidaujamą prieigą ar galimus pažeidžiamumus, kol dar ne per vėlu.
Pagrindinės EFSDump savybės
- Lengvas ir nešiojamas: Nereikia diegti, tiesiog atsisiųskite ir paleiskite tiesiai iš konsolės.
- Suderinamas su šiuolaikinėmis „Windows“ versijomis: Jį galima naudoti nuo „Windows Vista“ ir „Server 2008“ naujesnių versijų.
- Leidžia rekursyviai nuskaityti ištisus katalogus: Dėl parametro „-s“ galite tikrinti visą aplankų ir poaplankių struktūrą nekartodami komandų.
- Pakaitos simbolių palaikymas: Leidžia lengvai pasirinkti failus pagal plėtinį (pvz., visus užšifruotus .docx failus aplanke).
- Švari ir lengvai interpretuojama išvestis: Tvarkingai rodo paskyras, SID ir atkūrimo agentus audito ar ataskaitų teikimo tikslais.
- Tylos režimas: Parametras -q slopina klaidų pranešimus arba įspėjimus, tai naudinga integruojant EFSDump į automatizuotus scenarijus.
EFSDump sintaksė ir parametrai
Naudoti „EFSDump“ yra gana paprasta, tačiau, kaip ir bet kurį konsolės įrankį, svarbu įvaldyti jo sintaksę, kad galėtumėte išnaudoti visas jo galimybes.
Bendras komandos formatas:
efsdump <archivo o directorio>- -s: Nurodo EFSDump apdoroti visus failus pakatalogiuose rekursyviai.
- -q: Blokuoja klaidų spausdinimą (tylusis režimas), idealiai tinka dideliems scenarijams arba kai nenorime, kad konsolė būtų užpildyta pasikartojančiais pranešimais.
- : Galite nurodyti konkretaus failo arba aplanko pavadinimą (kad būtų audituojami visi jame esantys failai) arba šabloną su pakaitos simboliais.
Praktiniai pavyzdžiai:
- Norėdami išvardyti naudotojus, kurie gali pasiekti visus užšifruotus .docx failus jūsų dokumentų aplanke:
efsdump C:\Users\MiUsuario\Documents\*.docx - Norėdami patikrinti visą aplanką ir jo poaplankius:
efsdump -s C:\DataCifrada - Norėdami paleisti komandą be klaidų pranešimų, idealiai tinka scenarijams:
efsdump -q -s C:\CarpetaSegura
Vidinis veikimas ir NTFS struktūros
„EFSDump“ veikia tiesiogiai su failais, saugomais NTFS skaidiniuose, pasinaudodamas kiekvieno užšifruoto failo antraštėje esančiais vidiniais laukais.
NTFS sistemoje kiekvienas EFS apsaugotas failas turi dvi pagrindines struktūras:
- DDF (duomenų iššifravimo laukai): Jie saugo failų šifravimo raktus, užšifruotus kiekvieno įgalioto vartotojo viešuoju raktu. Čia pateikiamas tikrasis sąrašas žmonių, kurie gali tiesiogiai pasiekti turinį neturėdami sistemos rakto.
- DRF (duomenų atkūrimo laukai): Jie apima užšifruotus FEK raktus, tačiau šį kartą su atkūrimo agentų viešuoju raktu, t. y. administratoriaus iš anksto nustatytų paskyrų, skirtų avarinėms situacijoms arba duomenų atkūrimui.
EFSDump suderinamumas ir reikalavimai
Šį įrankį sukūrė Markas Russinovičius , vienas žinomiausių „Windows“ kūrėjų pasaulyje ir „Sysinternals“ įkūrėjas. Nors iš pradžių jis buvo sukurtas „Windows 2000“, jis puikiai tinka ir daug naujesnėms aplinkoms.
- Klientai: Veikia su „Windows Vista“ ir naujesnėmis versijomis, įskaitant dabartines versijas, tokias kaip „Windows 10“ ir „11“.
- Serveriai: Tai suderinama su „Windows Server 2008“ ir naujesnėmis versijomis.
Jo nereikia diegti, jis nekeičia registro ir nepalieka jokių pėdsakų sistemoje: tiesiog išskleiskite vykdomąjį failą ir atidarykite komandų eilutę su skaitymo teisėmis failams, kuriuos norite tikrinti. Norėdami suprasti kitus analizės įrankius, taip pat galite peržiūrėti, kaip naudoti „Windbg“.
Aistringas rašytojas apie baitų pasaulį ir technologijas apskritai. Man patinka dalytis savo žiniomis rašydamas, būtent tai ir darysiu šiame tinklaraštyje, parodysiu jums įdomiausius dalykus apie programėles, programinę įrangą, techninę įrangą, technologijų tendencijas ir kt. Mano tikslas – padėti jums paprastai ir smagiai naršyti skaitmeniniame pasaulyje.