در بسیاری از شرکت‌ها دسترسی پوشه‌ها طی سال‌ها و به‌صورت موردی داده شده است: «فلانی هم بتواند ببیند»، «این پوشه را به همکار جدید هم بدهید». نتیجه، فهرست بلندی از نام افراد روی هر پوشه است که هیچ‌کس نمی‌داند کدامش هنوز لازم است. روزی که باج‌افزار یا یک کارمند ناراضی وارد ماجرا شود، همین دسترسی‌های اضافه تعیین می‌کنند چه مقدار از اطلاعات آسیب می‌بیند.
دو لایه دسترسی: Share و NTFS
وقتی کاربر از طریق شبکه به پوشه‌ای وصل می‌شود، ویندوز دو مجموعه دسترسی را بررسی می‌کند:
- Share Permissions: فقط برای دسترسی از شبکه اعمال می‌شود و سه سطح ساده دارد: Read، Change و Full Control.
- NTFS Permissions: روی خود فایل‌ها و پوشه‌ها تعریف می‌شود، هم از شبکه و هم روی خود سرور اعمال می‌شود و بسیار دقیق‌تر است.
دسترسی نهایی کاربر از شبکه، محدودکننده‌ترین حالت این دو است. مثلاً اگر Share فقط اجازه Read بدهد و NTFS اجازه Modify، کاربر فقط می‌تواند فایل‌ها را بخواند.
روش رایج و ساده این است که در سطح Share به Authenticated Users اجازه Change یا Full Control بدهید و کنترل اصلی را فقط با NTFS انجام دهید. مدیریت دسترسی در دو جای مختلف، منشأ بیشتر سردرگمی‌هاست.
دسترسی را به گروه بدهید، نه به فرد
- برای هر پوشه اصلی و هر سطح دسترسی یک گروه بسازید، مثل
FS-Finance-RWبرای خواندن و نوشتن وFS-Finance-ROبرای فقط‌خواندنی. - فقط همین گروه‌ها را در NTFS پوشه ثبت کنید.
- کاربران را عضو گروه‌های نقش، مثل «کارکنان مالی»، کنید و گروه‌های نقش را عضو گروه‌های دسترسی.
این همان الگوی شناخته‌شده AGDLP در Active Directory است: حساب‌ها در گروه‌های Global، گروه‌های Global در گروه‌های Domain Local و دسترسی روی گروه Domain Local. مزیتش این است که با جابه‌جایی یک کارمند، فقط عضویت گروهش تغییر می‌کند و نیازی نیست به تنظیمات پوشه‌ها دست بزنید.
سطح دسترسی مناسب را انتخاب کنید
- Read & Execute: دیدن و باز کردن فایل‌ها، بدون امکان تغییر.
- Modify: خواندن، ساختن، ویرایش و حذف فایل‌ها؛ برای بیشتر کاربران کافی است.
- Full Control: علاوه بر Modify، اجازه تغییر دسترسی‌ها و مالکیت؛ فقط برای مدیران سیستم.
دادن Full Control به کاربران عادی یعنی هر کاربر می‌تواند دسترسی همکارانش را تغییر دهد یا دیگران را از پوشه بیرون کند.
ساختار پوشه‌ها و ارث‌بری
ساختار پوشه‌ها را کم‌عمق و منطبق با واحدهای سازمان نگه دارید و دسترسی‌ها را در یکی دو سطح بالایی تعریف کنید تا زیرپوشه‌ها از آن ارث ببرند. قطع ارث‌بری (Disable Inheritance) در لایه‌های عمیق، به‌سرعت کنترل را از دست شما خارج می‌کند. از دسترسی Deny هم تا جای ممکن استفاده نکنید؛ با طراحی درست گروه‌ها معمولاً نیازی به آن پیش نمی‌آید.
قابلیت Access-Based Enumeration را هم روی Share فعال کنید تا هر کاربر فقط پوشه‌هایی را ببیند که به آن‌ها دسترسی دارد. این کار هم امنیت را بالا می‌برد و هم پیدا کردن پوشه‌ها را برای کاربران ساده‌تر می‌کند.
ابزارهای بررسی و نگهداری
- تب Effective Access در تنظیمات امنیتی پوشه نشان می‌دهد یک کاربر مشخص در عمل چه دسترسی‌ای دارد.
- پیش از تغییرات بزرگ، با دستوری مثل
icacls D:Shares /save D:acl-backup.txt /tاز دسترسی‌ها نسخه بگیرید تا در صورت نیاز با گزینه/restoreآن‌ها را برگردانید. - هر چند ماه یک‌بار، عضویت گروه‌های دسترسی را همراه با مدیر هر واحد مرور کنید.
- رویدادهای حذف و تغییر فایل‌های حساس را با Audit ثبت کنید تا معلوم باشد چه کسی چه کاری کرده است.
چک‌لیست
- Share روی Authenticated Users تنظیم شده و کنترل اصلی با NTFS است.
- دسترسی‌ها فقط از طریق گروه داده شده، بدون نام افراد.
- Full Control فقط در اختیار مدیران سیستم است.
- ارث‌بری حفظ شده و Deny به حداقل رسیده است.
- Access-Based Enumeration فعال است.
- از دسترسی‌ها بکاپ گرفته می‌شود و بازبینی دوره‌ای انجام می‌شود.
کارشناسان ITPlus724 می‌توانند دسترسی‌های فعلی سرور فایل شما را بررسی کنند و ساختاری مبتنی بر گروه، ساده و قابل‌مدیریت برای آن طراحی و پیاده کنند.