Introduzione
Il concetto di una rete di computer non è nuovo o rivoluzionario. I server, tipicamente tenuti in stanze chiuse a chiave, memorizzano le risorse aziendali (cartelle, file, documenti, fogli di calcolo, ecc). Questi server sono chiusi a chiave dietro porte chiuse in modo che l’unico accesso che i dipendenti hanno alle risorse è attraverso la rete. Quindi, un livello di sicurezza per proteggere la risorsa è la sicurezza fisica che è fornita dal non permettere ai dipendenti di accedere direttamente all’hardware su cui si trova la risorsa.
Per permettere ai dipendenti di accedere alle risorse memorizzate sui server, il server deve essere configurato per permettere ai dipendenti di accedere alle risorse in rete. Per un ambiente Windows, questo viene fatto attraverso cartelle condivise. Quando una cartella è condivisa, diventa disponibile in rete in modo che tutti gli utenti della rete possano vedere il nome della cartella condivisa, come mostrato nella Figura 1.
Figura 1: Elenco delle cartelle condivise disponibili su un server in rete
Per proteggere le risorse che sono rese disponibili attraverso le cartelle condivise, gli amministratori devono configurare i “permessi” per le cartelle e i file che sono resi disponibili in rete. Ci sono due tipi di permessi che possono essere configurati sulle cartelle condivise: share e NTFS. Ci concentreremo sui permessi di condivisione, discutendo alcune insidie che sono esposte quando si usano, così come alcuni metodi raccomandati per configurare con successo i permessi per le cartelle condivise.
Un racconto di due permessi
Per essere sicuro di essere chiaro sulla mia descrizione dei permessi disponibili su una cartella condivisa, voglio iniziare descrivendo i due diversi permessi che possono essere configurati su ogni cartella condivisa. I due permessi sono: share e NTFS.
I permessi NTFS sono un attributo della cartella o del file per cui sono configurati. I permessi NTFS includono sia livelli di impostazioni standard che speciali. Le impostazioni standard sono combinazioni dei permessi speciali, rendendo la configurazione più efficiente e facile da stabilire. Questi permessi includono i seguenti, come mostrato nella Figura 2:
- Controllo completo
- Modifica
- Lettura &Esegui
- Lista contenuti cartella
- Lettura
- Scrittura
Figura 2: Permessi standard NTFS per una cartella
Ci sono 14 permessi speciali per le cartelle, che includono un controllo dettagliato sulla creazione, modifica, lettura e cancellazione di sottocartelle e file contenuti nella cartella in cui i permessi sono stabiliti.
I permessi NTFS sono associati all’oggetto, quindi i permessi sono sempre collegati all’oggetto durante una rinomina, uno spostamento o un archivio dell’oggetto.
I permessi di condivisione sono associati solo alla cartella che viene condivisa. Per esempio, se ci sono 5 sottocartelle sotto la cartella condivisa, solo la cartella condivisa iniziale può avere permessi di condivisione configurati su di essa. I permessi NTFS possono essere stabiliti su ogni file e cartella all’interno della struttura di archiviazione dati, anche se una cartella non è condivisa.
I permessi di condivisione sono configurati nella scheda Condivisione della cartella condivisa. In questa scheda, avrai un pulsante Permessi, che espone i permessi di condivisione quando viene selezionato, come mostrato nella Figura 3.
Figura 3: Permessi di condivisione su una cartella condivisa
Come puoi vedere, l’elenco standard di opzioni dei permessi di condivisione non è robusto come i permessi NTFS. I permessi di condivisione forniscono solo Controllo completo, Modifica e Lettura. Non ci sono permessi speciali disponibili per i permessi di condivisione, quindi i permessi standard sono il più granulare possibile per questo set di controllo degli accessi.
I permessi di condivisione non sono parte della cartella o del file, quindi quando il nome della condivisione viene cambiato, la cartella viene spostata, o la cartella viene sottoposta a backup, i permessi di condivisione non vengono inclusi. Questo rende fragile il controllo dei permessi di condivisione se la cartella viene modificata.
Permessi di condivisione storici
Microsoft ha storicamente configurato tutte le nuove cartelle condivise con permessi di condivisione molto aperti. I permessi di condivisione predefiniti per Windows NT, Windows 2000 (Server e Professional), e Windows XP (pre Service Pack 1) è che il gruppo Everyone ha il controllo completo.
Questo potrebbe sembrare insicuro con l’accesso a Controllo completo, ma quando le autorizzazioni NTFS sono combinate con le autorizzazioni di condivisione, la più sicura delle due autorizzazioni controlla l’accesso alla risorsa.
In passato, quando i permessi di condivisione sono stati alterati dal fatto che tutti hanno il controllo completo, può causare più problemi di quanti ne valga la pena. Per esempio, quando un’azienda tipicamente non usa i permessi di condivisione, può richiedere un ciclo più lungo per fissare l’accesso alle risorse quando vengono usati. Quando i permessi di condivisione sono configurati in modo errato su una cartella condivisa, i permessi di condivisione non sono la configurazione iniziale da controllare. Nella maggior parte dei casi, ho scoperto che possono essere necessarie ore prima che i permessi di condivisione vengano esaminati. Durante le procedure di risoluzione dei problemi, gli utenti possono essere aggiunti ai gruppi “admin”, con diritti utente elevati, e aggiunti direttamente all’ACL della risorsa. Quando i permessi di condivisione vengono finalmente esaminati e sistemati, può essere difficile ricordare tutte le altre configurazioni che sono state fatte nel tentativo di sistemare l’accesso degli utenti alla risorsa. Naturalmente, questo lascia la risorsa e la rete generale in uno stato insicuro, tutto a causa di permessi di condivisione configurati in modo errato.
Nuovi permessi di condivisione
Con tutta la confusione che i vecchi permessi di condivisione potevano causare, Microsoft ha deciso di cambiare le regole per i permessi di condivisione predefiniti con il rilascio di Windows XP Service Pack 1. Con ogni sistema operativo dopo questa release del service pack (incluso Windows Server 2003), le nuove autorizzazioni predefinite per tutte le nuove cartelle condivise sono Everyone che ha accesso in sola lettura, come mostrato nella Figura 3.
Questa sembra una buona impostazione di sicurezza, finché non consideri quante risorse sulla tua rete possono effettivamente avere accesso in “sola lettura” per tutti. Non sono molte, a causa del fatto che gli utenti hanno bisogno di modificare e alterare il contenuto della maggior parte delle risorse per essere produttivi.
In quasi tutti i casi i permessi di condivisione dovranno essere cambiati da accesso in lettura. Questo imposta l’amministratore a configurare i permessi di condivisione dettagliati, che possono causare i problemi che abbiamo discusso prima riguardo alla risoluzione dei problemi di accesso alle risorse con i vecchi permessi di condivisione modificati. Con i permessi di condivisione modificati per impostazione predefinita, ho scoperto che molti amministratori non sentono più la necessità di configurare i permessi NTFS, poiché si affidano ai permessi di condivisione per proteggere la risorsa. Questo è un errore grossolano e lascia la rete e le risorse in uno stato molto vulnerabile. I permessi di condivisione sono validi solo quando si accede alla risorsa in rete, ma non quando vi si accede localmente, usando i Servizi Terminali, ecc. Ricorda anche che i permessi di condivisione non vengono salvati con la risorsa, quindi anche tutti i file salvati sono vulnerabili, senza alcun permesso che li protegga.
Pratica migliore per i permessi di condivisione
Come pratica migliore, è più efficiente configurare i permessi di condivisione con utenti autenticati che hanno accesso a controllo completo. Poi, i permessi NTFS dovrebbero configurare ogni gruppo con permessi standard. Questo fornisce un’eccellente sicurezza per l’accesso locale e di rete alla risorsa. Fornisce anche un’eccellente protezione della risorsa per quando viene fatto il backup e quando il nome della risorsa viene cambiato o riposizionato. Come ho detto prima, i permessi NTFS proteggeranno la risorsa anche se i permessi di condivisione sono impostati su accesso Full Control.
Sommario
I permessi di condivisione non sono intrinsecamente cattivi, ma ci sono molti modi per usarli in modo sbagliato. Se la documentazione e il personale amministrativo sono molto esperti, i permessi di condivisione possono essere utilizzati insieme ai permessi NTFS per bloccare ulteriormente e proteggere le risorse di rete. Tuttavia, se c’è poca documentazione e un alto turnover nel personale IT, è una buona pratica non usare i permessi di condivisione e lasciare la sicurezza delle risorse di rete ai permessi NTFS. Anche se Microsoft ha cambiato i permessi di condivisione in Lettura per il gruppo Everyone, questo non indica una soluzione del mondo reale. È solo il miglior tentativo di Microsoft di aumentare la sicurezza delle risorse di rete, che non è un tentativo molto buono purtroppo.