Introduction
Le concept d’un réseau d’ordinateurs n’est pas nouveau ou révolutionnaire. Les serveurs, généralement conservés dans des pièces fermées à clé, stockent les ressources de l’entreprise (dossiers, fichiers, documents, feuilles de calcul, etc). Ces serveurs sont verrouillés derrière des portes fermées, de sorte que le seul accès des employés aux ressources se fait via le réseau. Ainsi, un niveau de sécurité pour protéger la ressource est la sécurité physique qui est fournie en ne permettant pas aux employés d’accéder directement au matériel sur lequel la ressource est située.
Pour que les employés puissent accéder aux ressources stockées sur les serveurs, le serveur doit être configuré pour permettre aux employés d’accéder aux ressources sur le réseau. Pour un environnement Windows, cela se fait par le biais de dossiers partagés. Lorsqu’un dossier est partagé, il devient disponible sur le réseau de sorte que tous les utilisateurs sur le réseau peuvent voir le nom du dossier partagé, comme le montre la Figure 1.
Figure 1 : Liste des dossiers partagés disponibles sur un serveur sur le réseau
Afin de protéger les ressources qui sont rendues disponibles par les dossiers partagés, les administrateurs doivent configurer des « permissions » pour les dossiers et les fichiers qui sont rendus disponibles sur le réseau. Il existe deux types de permissions qui peuvent être configurées sur les dossiers partagés : share et NTFS. Nous allons nous concentrer sur les permissions de partage, en discutant de certains pièges exposés lorsque vous les utilisez, ainsi que de certaines méthodes recommandées pour configurer avec succès les permissions pour les dossiers partagés.
Un conte de deux permissions
Pour être sûr d’être clair dans ma description des permissions disponibles sur un dossier partagé, je voulais commencer par décrire les deux différentes permissions qui peuvent être configurées sur chaque dossier partagé. Ces deux permissions sont : partage et NTFS.
Les permissions NTFS sont un attribut du dossier ou du fichier pour lequel elles sont configurées. Les permissions NTFS comprennent des niveaux de paramètres standard et spéciaux. Les paramètres standard sont des combinaisons des permissions spéciales, ce qui rend la configuration plus efficace et plus facile à établir. Ces permissions comprennent les éléments suivants, comme le montre la figure 2 :
- Contrôle total
- Modifier
- Lire &Exécuter
- Lister le contenu du dossier
- Lire
- Écrire
Figure 2 : Autorisations standard NTFS pour un dossier
Il existe 14 autorisations spéciales pour les dossiers, qui comprennent un contrôle détaillé sur la création, la modification, la lecture et la suppression des sous-dossiers et des fichiers contenus dans le dossier où les autorisations sont établies.
Les permissionsNTFS sont associées à l’objet, de sorte que les permissions sont toujours connectées à l’objet lors d’un renommage, d’un déplacement ou d’une archive de l’objet.
Les autorisations de partage sont uniquement associées au dossier qui est partagé. Par exemple, s’il y a 5 sous-dossiers sous le dossier qui est partagé, seul le dossier initial partagé peut avoir des permissions de partage configurées sur lui. Les permissions NTFS peuvent être établies sur chaque fichier et dossier de la structure de stockage des données, même si un dossier n’est pas partagé.
Les permissions de partage sont configurées dans l’onglet Partage du dossier partagé. Sur cet onglet, vous aurez un bouton Permissions, qui expose les permissions de partage lorsqu’il est sélectionné, comme le montre la figure 3.
Figure 3 : Autorisations de partage sur un dossier partagé
Comme vous pouvez le voir, la liste standard des options des autorisations de partage n’est pas aussi robuste que les autorisations NTFS. Les autorisations de partage fournissent uniquement le contrôle total, la modification et la lecture. Il n’y a pas de permissions spéciales disponibles pour les permissions de partage, donc les permissions standard sont aussi granulaires que vous pouvez aller pour cet ensemble de contrôle d’accès.
Les autorisations de partage ne font pas partie du dossier ou du fichier, donc lorsque le nom du partage est modifié, que le dossier est déplacé ou que le dossier est sauvegardé, les autorisations de partage ne sont pas incluses. Cela rend le contrôle des permissions de partage fragile si le dossier est modifié.
Les autorisations de partage historiques
Microsoft a historiquement configuré tous les nouveaux dossiers partagés avec des autorisations de partage très ouvertes. Les autorisations de partage par défaut pour Windows NT, Windows 2000 (Server et Professional) et Windows XP (avant le Service Pack 1) est que le groupe Everyone a un accès de contrôle total.
Cela peut sembler peu sûr avec un accès de type Full Control, mais lorsque les permissions NTFS sont combinées avec les permissions de partage, la plus sûre des deux permissions contrôle l’accès à la ressource.
Dans le passé, lorsque les permissions de partage sont modifiées à partir de Tout le monde ayant le contrôle total, cela peut causer plus de problèmes que cela ne vaut la peine. Par exemple, lorsqu’une entreprise n’utilise généralement pas les autorisations de partage, cela peut prendre un cycle plus long pour réparer l’accès aux ressources lorsqu’elles sont utilisées. Lorsque les autorisations de partage sont configurées de manière incorrecte sur un dossier partagé, les autorisations de partage ne sont pas la configuration initiale à vérifier. Dans la plupart des cas, j’ai constaté que cela peut prendre des heures avant que les autorisations de partage ne soient examinées. Pendant les procédures de dépannage, les utilisateurs peuvent être ajoutés aux groupes « admin », recevoir des droits d’utilisateur élevés et être ajoutés directement à l’ACL de la ressource. Lorsque les autorisations de partage sont enfin examinées et corrigées, il peut être difficile de se souvenir de toutes les autres configurations qui ont été faites pour tenter de réparer l’accès des utilisateurs à la ressource. Bien sûr, cela laisse la ressource et le réseau global dans un état non sécurisé, tout cela en raison de permissions de partage configurées de manière incorrecte.
Nouvelles autorisations de partage
Avec toute la confusion que les anciennes autorisations de partage pouvaient causer, Microsoft a décidé de changer les règles pour les autorisations de partage par défaut avec la sortie de Windows XP Service Pack 1. Avec chaque système d’exploitation après la sortie de ce Service Pack (y compris Windows Server 2003), les nouvelles permissions par défaut pour tous les nouveaux dossiers partagés est Tout le monde ayant un accès en lecture seule, comme le montre la figure 3.
Cela semble être un bon paramètre de sécurité, jusqu’à ce que vous considériez combien de ressources sur votre réseau peuvent réellement avoir un accès en « lecture seule » pour tout le monde. Il n’y en a pas beaucoup, en raison du fait que les utilisateurs doivent modifier et altérer le contenu de la plupart des ressources pour être productifs.
Dans presque tous les cas, les autorisations de partage devront être modifiées à partir de l’accès en lecture. Cela met en place l’administrateur pour configurer les autorisations de partage détaillées, ce qui peut causer les problèmes que nous avons discutés précédemment en ce qui concerne le dépannage de l’accès aux ressources avec les anciennes autorisations de partage modifiées. Les permissions de partage étant modifiées par défaut, j’ai constaté que de nombreux administrateurs estiment qu’ils n’ont plus besoin de configurer les permissions NTFS, car ils comptent sur les permissions de partage pour protéger la ressource. C’est une erreur grossière qui laisse le réseau et les ressources dans un état très vulnérable. Les autorisations de partage ne sont valables que lorsque la ressource est accessible sur le réseau, mais pas lorsqu’elle est accessible localement, à l’aide de Terminal Services, etc. Rappelez-vous également que les autorisations de partage ne sont pas sauvegardées avec la ressource, donc tous les fichiers sauvegardés sont également vulnérables, sans aucune autorisation les protégeant.
Bonne pratique des permissions de partage
Comme meilleure pratique, il est plus efficace de configurer les permissions de partage avec les utilisateurs authentifiés ayant un accès de contrôle complet. Ensuite, les permissions NTFS doivent configurer chaque groupe avec des permissions standard. Cela fournit une excellente sécurité pour l’accès local et réseau à la ressource. Elle assure également une excellente protection de la ressource lorsqu’elle est sauvegardée et lorsque le nom de la ressource est modifié ou déplacé. Comme je l’ai dit plus tôt, les permissions NTFS protégeront la ressource même si les permissions de partage sont définies sur un accès de contrôle complet.
Sommaire
Les autorisations de partage ne sont pas intrinsèquement mauvaises, mais il existe de nombreuses façons de les utiliser incorrectement. Si la documentation et le personnel administratif sont très avisés, les autorisations de partage peuvent être utilisées conjointement avec les autorisations NTFS pour verrouiller et sécuriser davantage les ressources du réseau. Cependant, si la documentation est limitée et que le personnel informatique est très changeant, il est préférable de ne pas utiliser les autorisations de partage et de laisser la sécurité des ressources du réseau aux autorisations NTFS. Même si Microsoft a modifié les autorisations de partage pour qu’elles soient en lecture pour le groupe Everyone, cela n’indique pas une solution réelle. C’est juste la meilleure tentative de Microsoft pour augmenter la sécurité des ressources du réseau, ce qui n’est pas une très bonne tentative malheureusement.