Compartilhamento e segurança NTFS

Question

Recentemente, recebemos um novo sistema para nós. É uma solução servidor-cliente Server 2008 e Windows 7 padrão com alguma segurança reforçada. Uma das novas políticas de segurança causou um certo tumulto entre os administradores.

A política escrita estipula que, ao compartilhar um recurso (arquivo ou algo assim), devemos agora definir a segurança no NTFS e no compartilhamento. Tanto quanto é do meu conhecimento (e meus colegas), as práticas recomendadas da Microsoft dizem que você compartilha um recurso com Todos com acesso total e, em seguida, define a segurança no próprio recurso. É assim que fizemos desde os dias do NT 4.

Sentimos que essa nova política foi escrita por alguém que realmente não entende como as permissões do Windows funcionam. Alguns pensam que compartilhar com Todos é uma grande falha de segurança, embora o NTFS deva ser suficiente. Nós não conseguimos uma resposta direta, então eu pergunto aqui. Estamos errados em nossa suposição de que as permissões definidas no nível NTFS são perfeitamente suficientes?

    

Answer 1

our policy says that the permissions set for NTFS also must be set on the share

Eles estão confusos. O NTFS oferece um conjunto estendido de permissões que não existem para compartilhamentos SMB, portanto, é impossível definir as mesmas permissões de compartilhamento que as permissões NTFS. Por exemplo. 'Listar conteúdo da pasta'.

link (Gerenciando permissões para pastas compartilhadas)

By default, the Everyone group does not include the Anonymous group, so permissions applied to the Everyone group do not affect the Anonymous group.

    

Answer 2

Recentemente eu tive que fazer compartilhamentos de usuários em uma rede Windows, basicamente a mesma idéia que você tem com um compartilhamento em que a segurança do sistema de arquivos define se os usuários podem lê-lo ou não.

Se você quiser direitos específicos de compartilhamento de usuário, precisará fazer um compartilhamento para cada usuário. Os direitos de compartilhamento se aplicam somente a qual pasta ou unidade você aplicar. Se você quisesse dar direitos de compartilhamento a partes no objeto compartilhado, deveria haver algo assim:

\ share {folder1} (acessível por ela) \ share {folder2} (acessível por ele) Mas isso é simplesmente segurança do sistema de arquivos, então eu acho que você está certo