Mejores prácticas de gestión de permisos NTFS

Configuración de permisos NTFS

• Cree una política de permisos de servidor de archivos que defina claramente su proceso de gestión de permisos.
• Utilice Active Directory groups en todas partes. No asigne permisos NTFS a individuos, incluso si tiene que crear cientos de grupos. Es mucho más fácil gestionar 200 grupos que 2,000 permisos únicos.
• Configure los permisos NTFS para los activos, asigne roles a esos permisos y asigne personas a los roles. Por ejemplo, suponga que tiene una compartición llamada HR en fileserver1. Haga lo siguiente:

1. Para esta compartición, cree los siguientes grupos locales de dominio en su AD con los permisos mostrados:
   • fileserver1_HR_read (Solo lectura)
   • fileserver1_HR_modify (Leer y Modificar)
   • fileserver1_HR_fullcontrol (Control total)
2. Utilice estos grupos para establecer los permisos NTFS a los derechos de usuario apropiados.
3. Cree un grupo global en AD llamado HR para su personal de RRHH. Añada este grupo global al grupo local del dominio fileserver1_HR_read, y luego agregue cuentas de usuario al grupo global HR. Lo que ahora ha hecho es vincular un activo a un permiso, y los permisos a un rol. A medida que amplíe su red y agregue diferentes activos y áreas de acceso al rol, podrá ver fácilmente a qué activos puede acceder un rol.

Personas (cuentas de usuario) -> Rol (grupo global de AD) -> Permisos (grupo local de dominio de AD) -> Activo (archivo o carpeta en un servidor de archivos)

• Evite otorgar a los usuarios el permiso de Control total. El Control total permite a los usuarios cambiar los permisos NTFS, lo cual no deberían necesitar hacer los usuarios promedio. Los derechos de Modificación deberían ser todo lo que la mayoría de los usuarios necesiten.
• Asigne los permisos más restrictivos que aún permitan a los usuarios realizar sus trabajos. Por ejemplo, si los usuarios solo necesitan leer información en una carpeta y no cambiar, eliminar o crear archivos, asigne únicamente el permiso de Lectura.
• Elimine el permiso Todos de todos los recursos excepto la carpeta global designada para intercambios de archivos.
• Cree un grupo de Global Deny para que, cuando los empleados dejen la empresa, pueda eliminar rápidamente todo su acceso al servidor de archivos haciéndolos miembros de ese grupo.
• Evite romper la herencia de permisos tanto como sea posible. Habrá algunas carpetas donde esto puede ser necesario, pero generalmente evítelo. Si algo rompiera la herencia, entonces necesita subir un nivel o necesita reevaluar quién tiene qué permisos en la carpeta padre. Por ejemplo, si necesita darle a alguien permisos de Lectura/Escritura para todo el \Finance pero no para \Finance\Budget, va a tener problemas más adelante.
• Haga que los usuarios inicien sesión utilizando cuentas de usuario de dominio en lugar de cuentas locales. Este enfoque centraliza la administración de los permisos de compartición.
• Todos los cambios de permisos deben ser auditados a medida que ocurren, y la jerarquía de permisos debe ser auditada al menos una vez al año.

Configuración de comparticiones de archivos

• Cree una carpeta de nivel superior que servirá como la carpeta de almacenamiento raíz para todos los datos creados por los usuarios (por ejemplo, C:\Data). Cree subcarpetas dentro de ella para segregar y organizar los datos de acuerdo con los roles laborales y los requisitos de seguridad.
• Asegúrese de que solo el departamento de TI pueda crear carpetas de nivel raíz. No permita ni siquiera a los gerentes o ejecutivos crear carpetas en los primeros 1 o 2 niveles. Si no restringe la jerarquía de nivel raíz, su estructura de carpetas ordenada rápidamente será destruida. Los departamentos pueden organizar sus carpetas como deseen, pero no permita carpetas basura.
• Organice sus recursos de manera que los objetos con los mismos requisitos de seguridad estén ubicados en la misma carpeta. Por ejemplo, si los usuarios requieren el permiso de Lectura para varias carpetas de aplicaciones, almacene esas carpetas en la misma carpeta principal. Luego otorgue permisos de Lectura a la carpeta principal, en lugar de compartir cada carpeta de aplicación individual por separado.
• Asegúrese de que la enumeración basada en acceso esté habilitada. La enumeración basada en acceso muestra solo los archivos y carpetas a los que un usuario tiene permiso para acceder. Si un usuario no tiene permisos de Lectura (o equivalente) para una carpeta, Windows oculta la carpeta de la vista del usuario.
• Establezca los permisos de compartición de archivos de Windows de manera bastante permisiva — otorgue a Todos, Usuarios Autenticados o Usuarios del Dominio los permisos de Control Total o Cambio — y confíe en NTFS para la gestión real de permisos.
• Evite tener comparticiones anidadas en sus estructuras de archivos porque pueden crear comportamientos conflictivos para los mismos recursos de red si se accede a través de diferentes comparticiones. Esto puede ser una invitación a problemas, especialmente cuando los permisos de las comparticiones son diferentes. Una compartición anidada es una carpeta compartida que reside dentro de otra carpeta compartida. Por supuesto, están las comparticiones ocultas predeterminadas (C$, D$, etc.), que hacen que todas las comparticiones debajo de ellas estén anidadas, y son un predeterminado. Sin embargo, si sus usuarios utilizan dos comparticiones no ocultas y anidadas por separado, puede haber permisos de compartición conflictivos.
• Sepa cuándo copiar y cuándo mover. Las operaciones estándar de copia y movimiento proporcionan resultados predeterminados que pueden mantener sus permisos NTFS configurados — o romperlos. Las operaciones de copia crearán los permisos del contenedor de destino, y las operaciones de movimiento mantendrán los del contenedor padre. Para tener esto claro, solo recuerde CC/MM — Copies Create, Moves Maintain.

Las 5 mejores herramientas de permisos NTFS

• Herramienta de reporte de permisos efectivos de Netwrix
• NTFS Permissions Reporter de Cjwdev
• Enumeración de acceso (utilidad de Microsoft)
• Permissions Reporter de Key Metric Software
• Permissions Analyzer de SolarWinds

Exportando permisos NTFS a través de Powershell

• Exportando permisos de carpeta usando PowerShell
• Exportando permisos de usuario usando PowerShell
  

¿Qué son los permisos NTFS?

NTFS (New Technology File System) es el sistema de archivos estándar para Windows NT y todos los sistemas operativos Windows posteriores. Con NTFS, utilizas carpetas compartidas para proporcionar a los usuarios de la red acceso a recursos de archivos y, de este modo, gestionar permisos para unidades y carpetas. Los permisos de NTFS están disponibles para todas las unidades formateadas con este sistema de archivos. Cada usuario puede elegir compartir unidades enteras o carpetas individuales con la red.

Las principales ventajas de los permisos NTFS son que afectan tanto a usuarios locales como a usuarios de red y se basan en los permisos otorgados a cada usuario individual en el inicio de sesión de Windows, independientemente de dónde se esté conectando el usuario. Los administradores pueden usar la utilidad NTFS para controlar el acceso a archivos y carpetas, contenedores y objetos en la red como parte de la seguridad del sistema.