はじめに
コンピュータ群のネットワークという概念は新しくも画期的でもないでしょう。 通常、密室に保管されているサーバーは、会社のリソース (フォルダー、ファイル、ドキュメント、スプレッドシートなど) を保存します。 これらのサーバーは閉じたドアの後ろにロックされているので、従業員がリソースにアクセスするのはネットワーク経由だけです。 したがって、リソースを保護するためのセキュリティの1つのレベルは、リソースが配置されているハードウェアへの従業員の直接アクセスを許可しないことによって提供される物理的なセキュリティです。
従業員がサーバーに保存されたリソースにアクセスするには、従業員がネットワーク経由でリソースにアクセスできるようにサーバーを設定する必要があります。 Windows環境では、これは共有フォルダーを通じて行われます。 フォルダが共有されると、図1に示すように、ネットワーク上のすべてのユーザーが共有フォルダ名を確認できるようになります。
図1：ネットワーク上のサーバーで利用できる共有フォルダの一覧
共有フォルダを通じて利用可能になったリソースを保護するために、管理者はネットワーク上で利用可能になったフォルダとファイルに対して「権限」を設定しなければなりません。 共有フォルダーに設定できるアクセス権には、共有と NTFS の 2 種類があります。 今回は、共有のパーミッションに焦点を当て、それを使用する際に露呈するいくつかの落とし穴と、共有フォルダーのパーミッションをうまく設定するための推奨方法について説明します。
A Tale of Two Permissions
共有フォルダーで使用できる権限についての説明を明確にするために、まず、各共有フォルダーに設定できる 2 つの異なる権限について説明したいと思います。 その2つの権限とは、「共有」と「NTFS」です。
NTFS のアクセス権は、設定されたフォルダーまたはファイルの属性です。 NTFS のパーミッションには、標準レベルと特別レベルの設定があります。 標準設定は、特殊なパーミッションの組み合わせであり、設定をより効率的に、より簡単に設定することができます。 これらのパーミッションには、図2に示すように、以下のようなものがある。
- Full Control
- Modify
- Read & Execute
- List Folder Contents
- Read
- Write
図2.Fuzz: Full Control (フル コントロール) NTFS 標準のフォルダーに対する権限
フォルダーには 14 の特別な権限があり、権限が設定されたフォルダーに含まれるサブフォルダーやファイルの作成、変更、読み取り、削除を詳細に制御できます。
NTFS のアクセス権はオブジェクトに関連付けられるため、オブジェクトの名前変更、移動、またはアーカイブの際に、アクセス権は常にオブジェクトに接続されます。
Share 権限は共有されているフォルダーにのみ関連付けられます。 たとえば、共有されるフォルダーの下に5つのサブフォルダーがある場合、最初の共有フォルダーにのみ共有パーミッションが設定されます。 NTFSのパーミッションは、フォルダが共有されていない場合でも、データストレージ構造内のすべてのファイルとフォルダに設定できます。
共有許可は、共有フォルダーの［共有］タブで設定されます。 このタブには、図 3 に示すように、選択すると共有の許可を公開する [許可] ボタンがあります。
Figure 3: 共有フォルダーの共有権限
ご覧のように、共有権限の標準オプション一覧は NTFS 権限ほど強固なものではありません。 共有アクセス許可は、[フル コントロール]、[変更]、および [読み取り] のみを提供します。 共有アクセス権には特別なアクセス権はないので、標準のアクセス権は、このアクセス制御のセットで行けるのと同じくらいきめ細かいものです。
共有アクセス権はフォルダーまたはファイルの一部ではないので、共有名を変更したり、フォルダーを移動したり、フォルダーをバックアップしたりすると、共有アクセス権は含まれなくなります。 このため、フォルダーが変更された場合、共有パーミッションの制御がもろくなります。
Historic Share Permissions
Microsoft は歴史的に、すべての新しい共有フォルダーを非常にオープンな共有権限で構成してきました。 Windows NT、Windows 2000 (Server および Professional)、および Windows XP (Service Pack 1 以前) のデフォルトの共有アクセス権は、Everyone グループがフル コントロールでアクセスできることです。
Full Control アクセスでは安全でないように思えるかもしれませんが、NTFS アクセス許可を共有アクセス許可と組み合わせると、2 つのアクセス許可のうち最も安全なものが、リソースへのアクセスを制御することになります。
過去に、共有のアクセス権が Everyone のフル コントロールから変更された場合、価値があるよりも多くの問題を引き起こす可能性がありました。 たとえば、企業が通常共有権限を使用しない場合、共有権限が使用されると、リソースへのアクセスを修正するのに長いサイクルが必要になることがあります。 共有フォルダーで共有パーミッションが誤って設定されている場合、共有パーミッションはチェックすべき初期設定ではない。 ほとんどの場合、共有権限を調査するまでに数時間かかることが分かっています。 トラブルシューティングの手順では、ユーザーを「管理者」グループに追加し、昇格したユーザー権限を与え、リソースのACLに直接追加することができます。 最終的に共有権限が調査され、修正されたとき、リソースへのユーザーのアクセスを修正するために行われた他のすべての設定を覚えておくことは困難です。 もちろん、これでは、リソースとネットワーク全体が安全でない状態になり、その原因は、すべて共有パーミッションが正しく設定されていないことにあります。
New Share Permissions
古い共有権限が引き起こす可能性があったすべての混乱を受けて、Microsoft は Windows XP Service Pack 1 でデフォルト共有権限に関する規則を変更することに決定しました。 この Service Pack リリース以降のすべてのオペレーティング システム (Windows Server 2003 を含む) では、図 3 に示すように、すべての新しい共有フォルダーの新しいデフォルトのアクセス権は Everyone で、読み取り専用になります。
これは良いセキュリティ設定のように見えますが、実際にネットワーク上のどれだけのリソースが「読み取り専用」のアクセスを全員に与えることができるかを考えるまでは、そうとは言えません。 生産性を高めるために、ユーザーはほとんどのリソースのコンテンツを修正および変更する必要があるという事実があるため、それほど多くはありません。
ほとんどすべての例で、共有のアクセス権は読み取りアクセスから変更する必要があります。 これは、管理者が詳細な共有権限を設定するように設定し、以前、古い共有権限が変更されたリソース アクセスのトラブルシューティングに関して説明した問題を引き起こす可能性があります。 共有パーミッションがデフォルトで変更されているため、多くの管理者は、リソースを保護するために共有パーミッションに依存しているため、もうNTFSパーミッションを構成する必要がないと感じていることがわかりました。 これは重大な誤りであり、ネットワークとリソースを非常に脆弱な状態にしてしまいます。 共有パーミッションは、リソースがネットワーク経由でアクセスされる場合にのみ有効であり、ターミナルサービスなどを使用してローカルにアクセスされる場合には有効ではありません。 また、共有パーミッションはリソースと一緒にバックアップされないので、バックアップされたすべてのファイルはパーミッションで保護されず、同様に脆弱であることを覚えておいてください。
Share Permissions Best Practice
ベスト プラクティスとして、認証ユーザーがフル コントロール アクセスできるように共有権限を構成することが最も効率的です。 次に、NTFS アクセス許可で、各グループに標準のアクセス許可を設定する必要があります。 これにより、リソースへのローカルおよびネットワーク アクセスに対する優れたセキュリティが提供されます。 また、リソースのバックアップ時や、リソース名の変更・移転時にも、リソースの保護に優れています。 先に述べたように、共有のアクセス権がフルコントロールのアクセスに設定されていても、NTFSのアクセス権はリソースを保護します。
まとめ
共有アクセス許可は本質的に悪いものではありませんが、間違った使い方をすることは多々あります。 ドキュメントと管理スタッフが非常に精通している場合、共有権限を NTFS 権限と組み合わせて使用することで、ネットワーク リソースをさらにロックし、安全にすることができます。 しかし、ドキュメントが少なく、ITスタッフの入れ替わりが激しい場合は、共有パーミッションを使用せず、ネットワークリソースのセキュリティはNTFSパーミッションに任せるのがベストプラクティスである。 MicrosoftがEveryoneグループの共有権限を読み取り権限に変更したとしても、これは現実的な解決策を示すものではありません。 これは、ネットワークリソースのセキュリティを向上させるためのマイクロソフトの最善の試みであり、残念ながらあまり良い試みとは言えません。