Захист файлів і загальних папок
Тема інформаційного захисту сьогодні популярна, як ніколи. IT-професіонали черпають знання звідусіль: зі спеціальних статей в журналі і навіть з щоденних розсилок по електронній пошті.
Більшість технічних засобів захищають ресурси організації від стороннього втручання. Але найчастіше необхідно розділити доступ до інформації всередині самого підприємства. Тільки уявіть, які проблеми можуть виникнути, якщо всі співробітники отримають доступ до особистих записів своїх колег.
Файлова система NTFS в Windows XP і її повноваження для загальних папок спеціально розроблені для захисту вмісту папок загального доступу як від внутрішніх, так і зовнішніх витоків. У цій статті дано кілька порад, слідуючи яким адміністратор зможе грамотно призначати NTFS-повноваження і управляти доступом до загальних папок і файлів
Управління доступом до файлів
Більшість користувачів викладає файли у відкритий доступ для учасників робочих груп і p2p-мереж, для цього потрібно:
- Клацнути правою кнопкою на папці з файлами, до яких потрібно надати доступ
- З розкрився меню вибрати пункт Sharing And Security (Загальний доступ і безпека)
- У діалоговому вікні властивостей папки перейти на вкладку Sharing (Доступ) і вибрати команду Share This Folder (Відкрити спільний доступ до цієї папки), як показано на зображенні A.
Зображення A. В діалоговому вікні властивостей папки проводиться настройка рівня управління доступом для призначених для користувача і групових повноважень
- Введіть назву папки в графу Share Name (Ім'я спільного ресурсу)
- За бажанням можна додати кілька пояснювальних слів в графу Comment (Опис).
- Натисніть OK.
Також для того, щоб призначити різні повноваження для різних користувачів, необхідно відключити активну за замовчуванням опцію Windows XP Simple File Sharing (Простий загальний доступ до файлів):
- Відкрийте провідник Windows Explorer
- Перейдіть в меню Tools (Сервіс)
- Виберіть пункт Folder Options (Властивості папки)
- Перейдіть на вкладку View (Вид).
- У вікні Advanced Settings (Додаткові параметри) приберіть позначку з параметра Use Simple File Sharing (Recommended) | Використовувати простий спільний доступ до файлів (рекомендовано).
- Натисніть OK.
Для того, щоб відключити дозвіл для Всіх (Everyone) і налаштувати рівень доступу для кожного користувача індивідуально:
- Клацніть правою кнопкою на необхідної папці.
- З розкрився меню виберіть пункт Sharing And Security (Загальний доступ і безпека).
- Натисніть на кнопку Permissions (Дозволи). Відкриється діалогове вікно Permissions For. (Дозволи для.), Як показано на зображенні B.
Зображення B. Налаштування повноважень доступу на вкладці Share Permissions (Дозволи для загального ресурсу) діалогового вікна Permissions For. (Дозволи для.).
Зображення C. Виберіть користувачів або групи, для яких потрібно налаштувати повноваження доступу, в поле Enter The Object Names To Select (Введіть імена вибраних об'єктів) та натисніть OK.
Користувачі, що мають право змінювати інформацію в папці (Change), можуть переглядати і змінювати знаходяться в каталозі файли, створювати в ньому свої файли і папки і запускати розташовані в ньому програми на виконання.
Користувачам і групам, наділених повноваженнями читання інформації (Read), дозволяється тільки переглядати збережені в каталозі файли і запускати програми. Для інформації на дисках Windows XP, відформатованих в файлову систему NTFS, можна встановлювати додаткові повноваження.
NTFS-повноваження в середовищі Windows надають собою додатковий набір параметрів, які можна налаштовувати для кожного окремого файлу або папки.
Для початку потрібно переконатися, що настройки Windows XP дозволяють працювати з файловою системою NTFS:
- Натисніть Start (Пуск)
- Виберіть команду Run (Виконати)
- Введіть в рядок compmgmt.msc і натисніть OK. Відкриється консоль Computer Management (Керування комп'ютером).
- Перейдіть до об'єкта Disk Management (Управління дисками) на вкладці Storage (Сховище) для того, щоб дізнатися який тип файлової системи використовується на кожному диску.
Якщо диск або один з його розділів не відформатовано в NTFS, це можна виправити, якщо ввести convert X: / fs: ntfs, поставивши замість X букву потрібного диска або розділу. Команда convert поміняє поточну файлову систему диска на NTFS, не знищуючи при цьому зберігаються на ньому дані. Проте, перед запуском команди на виконання краще зробити резервну копію вмісту диска.
Для настройки NTFS-дозволів:
- Клацніть на потрібному файлі або папці.
- З контекстного меню виберіть пункт Properties (Властивості)
- Перейдіть на вкладку Security (Безпека)
- За допомогою кнопок Add / Remove (Додати / Видалити) додавайте або видаляйте користувачів і груп, для яких потрібно зробити налаштування NTFS-повноважень доступу
- Виберіть потрібний об'єкт з вікна Group Or User Names (Групи або користувачі) і призначайте / забороняйте повноваження, встановлюючи або прибираючи відповідні позначки у вікні Permissions For (Дозволи для), як показано на зображенні D
- Натисніть ОК для збереження змін.
Зображення D. NTFS-повноваження мають більшу кількість параметрів, що настроюються в порівнянні зі службою простого спільного доступу.
Врахуйте, що за замовчуванням підкаталоги успадковують властивості своїх кореневих директорій. Для того, щоб це змінити, натисніть на кнопці Advanced (Додатково) на вкладці Security (Безпека) діалогового вікна Properties (Властивості).
Для визначення остаточних повноважень того чи іншого користувача відніміть з NTFS-дозволів, наданих йому безпосередньо (або як члену групи), всі індивідуальні заборони (або заборони, який він отримав в якості члена групи). Наприклад, якщо користувач отримав повний доступ (Full Control) до даної папці, але в той же час є членом групи, для якої заборонений повний доступ, то він в результаті не володітиме правами повного доступу. Якщо рівень доступу користувача обмежений параметрами Read Execute (Читання і виконання) і List Folder Contents (Список вмісту папки) в одній групі, і в той же час йому запрёщен доступ на рівні List Folder Contents (Список вмісту папки), то в результаті його NTFS-повноваження будуть обмежені тільки рівнем Read Execute (Читання і виконання). З цієї причини адміністратором слід підходити до заборонам з особливою обережністю, оскільки заборонені функції мають пріоритет перед дозволеними для того ж користувача або групи.
Windows XP має зручну утилітою для підтвердження діючих дозволів користувача або групи:
- Відкрийте діалогове вікно властивостей потрібного файлу або папки (Properties)
- Перейдіть на вкладку Security (Безпека)
- Натисніть на кнопку Advanced (Додатково). Відкриється діалогове вікно Advanced Security Settings For (Додаткові параметри безпеки для.)
- Перейдіть на вкладку Effective Permissions (Діючі дозволу). (Зображення E)
- Натисніть на кнопку Select (Вибрати).
- Відкриється діалогове вікно Select User Or Group (Вибір: Користувач або Група).
- В поле Enter The Object Name To Select (Введіть імена вибраних об'єктів) введіть ім'я користувача або групи, чиї повноваження необхідно підтвердити, і натисніть OK
- Діалогове вікно Advanced Security Settings For (Додаткові параметри безпеки для.) Відобразить підсумковий набір NTFS-повноважень для обраного користувача або групи.
Зображення E. Вкладка Effective Permissions (Діючі дозволу) допомагає легко визначити, які повноваження насправді володіє користувач або група.
Поєднання NTFS-дозволів з повноваженнями загального доступу
Звучить багатообіцяюче. Здавалося б, досить грамотно роздати користувачам відповідні повноваження - і можна починати роботу. Однак насправді не все так просто. Повноваження загальних доступу і NTFS-дозволи повинні чітко визначати, якими реальними правами доступу мають користувачі та групи, але, на жаль, вони часто конфліктують між собою. Для визначення остаточних повноважень того чи іншого користувача порівняйте підсумкові повноваження загальних доступу з підсумковими NTFS-дозволами. Пам'ятайте, що обмеження доступу будуть домінувати над дозволами. Наприклад, якщо підсумкові NTFS-права доступу користувача обмежені рівнем Read and Execute (Читання і виконання), а підсумкові права загального доступу - рівнем Full Control (Повний доступ), система не надасть цьому користувачу дійсні права повного доступу, а вибере найбільш пріоритетний рівень, в даному випадку це NTFS-дозвіл на читання і виконання. Завжди необхідно пам'ятати про те, що підсумкові обмеження в правах превалюють над підсумковими дозволами. Це дуже важливий момент, який легко забувається, після чого доставляє користувачам чимало клопоту. Тому ретельно розраховуйте співвідношення заборон і дозволів повноважень NTFS і загального доступу