La guida completa a NTFS vs Share Permissions

La base della sicurezza di Windows è semplice — se si desidera accedere a una risorsa di rete come un file o una cartella, sono necessari i permessi appropriati. Tuttavia, l'implementazione è più complessa perché il sistema operativo Windows ha due tipi di permessi: i permessi NTFS, che operano a livello del file system, e i permessi di condivisione, che regolano l'accesso alla rete per le risorse condivise.

In questo articolo, esploreremo i permessi NTFS rispetto ai permessi di condivisione, inclusi cosa può fare ciascuno di questi tipi di permessi, come sono diversi e come puoi utilizzare i permessi NTFS e di condivisione insieme per far rispettare il principle of least privilege su tutte le tue macchine Windows.

Cos'è NTFS?

NTFS (New Technology File System) è il file system standard per Microsoft Windows NT e sistemi operativi successivi, sostituendo un vecchio file system chiamato File Allocation Table (FAT). Tuttavia, FAT (specialmente FAT32) è ancora utilizzato, in particolare su dispositivi di archiviazione rimovibili.

NTFS supporta un'archiviazione e un recupero efficienti attraverso la sua Master File Table (MFT), che tiene traccia di tutti i file e le directory sul disco. Questa struttura permette a NTFS di gestire grandi quantità di dati in modo efficace mantenendo tempi di accesso rapidi. Inoltre, il supporto alla dimensione dei file può soddisfare le esigenze delle applicazioni moderne e dello storage multimediale di oggi. In termini di sicurezza, supporta la crittografia sia a livello di file che di cartelle, e consente agli amministratori di impostare permessi dettagliati per file e cartelle.

Cosa sono i permessi NTFS?

I permessi NTFS vengono utilizzati per gestire l'accesso ai dati memorizzati nei file system NTFS. I principali vantaggi dei permessi di condivisione NTFS sono che influenzano sia gli utenti locali che gli utenti di rete e che si basano sui permessi concessi a un utente individuale all'accesso a Windows, indipendentemente dal luogo da cui l'utente si sta connettendo.

Ci sono permessi NTFS sia di base che avanzati. Puoi impostare ciascuno dei permessi su Consenti o Nega per controllare l'accesso agli oggetti NTFS. Ecco i tipi di base dei permessi di accesso:

• Controllo completo — Gli utenti possono aggiungere, modificare, spostare ed eliminare file e directory, così come le loro proprietà associate. Inoltre, gli utenti possono cambiare le impostazioni dei permessi per tutti i file e le sottodirectory.
• Modificare — Gli utenti possono visualizzare e modificare file e proprietà dei file, inclusa l'aggiunta di file a una directory o la loro eliminazione, o l'aggiunta o rimozione di proprietà dei file.
• Leggere & Eseguire — Gli utenti possono eseguire file eseguibili, inclusi script.
• Leggere — Gli utenti possono visualizzare file, proprietà dei file e directory.
• Scrivere — Gli utenti possono scrivere su un file e aggiungere file alle directory.

Come impostare i permessi NTFS (Guida passo dopo passo)

1. Fai clic con il pulsante destro del mouse sulla cartella condivisa.
2. Apri la scheda Sicurezza e fai clic su Modifica, come mostrato di seguito:

• Fai clic su Aggiungi. Quindi seleziona il gruppo desiderato (HR Personnel nell'esempio sottostante) e utilizza le caselle di controllo Consenti e Nega per assegnare i permessi desiderati, come mostrato di seguito.

• Fai clic su Apply per applicare i permessi.

Cosa sono i permessi di SharePoint?

I permessi di condivisione gestiscono l'accesso alle cartelle condivise su una rete, come una cartella condivisa situata su un server di file centralizzato. I permessi di condivisione non si applicano agli utenti che effettuano l'accesso localmente. I permessi di condivisione si applicano a tutti i file e le cartelle nella condivisione; non è possibile controllare in modo granulare l'accesso a sottocartelle o oggetti in una condivisione. È possibile specificare il numero di utenti che possono accedere alla cartella condivisa. I permessi delle cartelle condivise possono essere utilizzati con i file system NTFS, FAT e FAT32.

Ci sono tre tipi di permessi di condivisione:

• Leggi — Gli utenti possono visualizzare i nomi di file e sottocartelle, leggere i dati nei file ed eseguire programmi. Per impostazione predefinita, al gruppo Everyone sono assegnati i permessi di Read .
• Modifica — Gli utenti possono fare tutto ciò che è permesso dal permesso di Lettura, oltre ad aggiungere file e sottocartelle, modificare i dati nei file e cancellare sottocartelle e file. Questo permesso non è assegnato per impostazione predefinita.
• Controllo completo — Gli utenti possono fare tutto ciò che è permesso dalle autorizzazioni di Lettura e Modifica, e possono anche cambiare le autorizzazioni solo per i file e le cartelle NTFS. Per impostazione predefinita, al gruppo degli Amministratori vengono concesse le autorizzazioni di Controllo completo.

Come impostare i permessi di condivisione (Guida passo dopo passo)

1. Fai clic con il pulsante destro del mouse sulla cartella condivisa.
2. Clicca Properties.
3. Apri la scheda Condivisione e clicca il pulsante Share per condividere la cartella:

• Scegli il gruppo con cui desideri condividere la cartella e assegna i permessi di condivisione come mostrato qui:

• Fai clic sul pulsante Share in basso a destra.
• Una volta condivisa una cartella, imposti le opzioni avanzate. Prima, clicca su Advanced Sharing:

Quindi fare clic sul pulsante Permissions . Nella finestra popup, scegliere un utente o un gruppo e assegnare i permessi desiderati, come mostrato di seguito. Quindi fare clic su OK per completare l'assegnazione.

Principali differenze tra i permessi NTFS e Share

Comprendere le differenze tra i permessi di condivisione e i permessi NTFS è essenziale per gestire correttamente l'accesso a file e cartelle in un ambiente Windows. Ecco alcune differenze chiave tra i due:

Come interagiscono i permessi NTFS e Share

Quando vengono utilizzati sia i permessi NTFS che quelli di condivisione, cosa succede quando si sovrappongono? Ad esempio, se una cartella ha permessi di condivisione di Controllo completo ma solo permessi NTFS di Lettura, qual è il risultato finale?

Quando si utilizzano contemporaneamente i permessi NTFS e di condivisione, prevale sempre il permesso più restrittivo. Ad esempio, se il permesso di condivisione della cartella per il gruppo Tutti è impostato su Lettura e il permesso NTFS è impostato su Modifica, si applica il permesso di condivisione perché è più restrittivo; all'utente non è consentito modificare i file sull'unità condivisa.

Si raccomanda generalmente di impostare i permessi di condivisione a un livello superiore utilizzando i permessi NTFS per far rispettare controlli di accesso specifici. Ad esempio, considerate una cartella condivisa in un ambiente collaborativo dove un team deve accedere frequentemente ai file. Impostare i permessi di condivisione su Controllo completo per un gruppo di utenti permette loro di creare, modificare ed eliminare file facilmente senza incontrare problemi di accesso quando si connettono alla cartella condivisa attraverso la rete. Tuttavia, per proteggere i dati sensibili all'interno di quella cartella condivisa, potete applicare permessi NTFS più restrittivi che limitano l'accesso a file specifici o sottocartelle. Questo approccio assicura che, mentre gli utenti possono interagire liberamente con la maggior parte dei contenuti nella cartella condivisa, le informazioni sensibili sono ancora protette da controlli NTFS più rigorosi.

Migliori pratiche per la gestione dei permessi

Di seguito sono riportate alcune delle migliori pratiche per la gestione delle autorizzazioni managing permissions in modo efficace e sicuro:

• Assegnare sempre i permessi ai gruppi piuttosto che agli utenti singoli a meno che non sia assolutamente necessario. Assegnare i permessi ai singoli account utente può portare a una struttura di permessi complessa e ingestibile. Ad esempio, quando un utente viene eliminato, eventuali voci di permesso per quell'utente rimarranno come SID orfani nella Lista di Controllo degli Accessi (ACL), ingombrando il sistema e complicando la gestione dei permessi.
• Applica il principio del minimo privilegio (PoLP): Concedi agli utenti i permessi di cui hanno bisogno e nient'altro. Ad esempio, se un utente deve leggere le informazioni in una cartella ma non ha mai una ragione legittima per eliminare, creare o modificare file, assicurati che abbia solo il permesso di Lettura.
• Assegna i permessi ai gruppi, non agli account utente: Assegnare i permessi ai gruppi semplifica la gestione delle risorse condivise. Se il ruolo di un utente cambia, è sufficiente aggiungerlo ai nuovi gruppi appropriati e rimuoverlo da quelli che non sono più rilevanti.
• Utilizzare solo i permessi NTFS per gli utenti locali: I permessi di condivisione si applicano solo agli utenti che accedono alle risorse condivise attraverso la rete; non si applicano agli utenti che effettuano l'accesso localmente.
• Raggruppa gli oggetti con gli stessi requisiti di sicurezza nella stessa cartella: Ad esempio, se gli utenti di un reparto necessitano del permesso di Lettura per diverse cartelle, conserva tali cartelle in una cartella principale comune e condividi quella cartella principale, anziché condividere ogni singola cartella individualmente.
• Gestisci con saggezza i gruppi Everyone e Administrators: Limita il gruppo Everyone alle risorse pubbliche o non sensibili ed evita di concedergli l'accesso a sistemi critici o dati. Mantieni al minimo la composizione del gruppo Administrators e utilizza account separati per compiti amministrativi invece di fornire diritti di amministratore agli account di uso quotidiano.
• Evitate conflitti di permessi nidificati: Impostate i permessi al livello più alto possibile nella struttura delle cartelle e limitate l'uso di gruppi o strutture di cartelle profondamente nidificate per prevenire ereditarietà non intenzionali. Evitate di interrompere l'ereditarietà dei permessi utilizzando con parsimonia le negazioni esplicite.
• Utilizza strumenti per la gestione dei permessi e le verifiche: Impiega strumenti di audit per generare rapporti su chi ha accesso a cosa e quando sono stati modificati i permessi, e configura allarmi per cambiamenti di permessi inaspettati e tentativi di accesso.
• Documentate e descrivete la vostra strategia e i processi di permessi: Gestire i permessi NTFS e delle condivisioni in modo ad-hoc può creare complessità non necessarie e lacune di sicurezza. È meglio definire in anticipo la vostra filosofia e strategia dei permessi e combinarli con processi testati di concessione, monitoraggio e rimozione dei permessi su base frequente e regolare.

Risoluzione dei problemi relativi ai permessi

Diagnosi e riparazione dei permessi danneggiati

Si verificano permessi errati quando gli utenti non possono accedere alle risorse a cui sono autorizzati o ottengono accesso a aree non intenzionali a causa di configurazioni errate. Per identificare e risolvere questi problemi:

• Utilizza strumenti o funzionalità del sistema operativo per verificare i permessi effettivi di un utente o gruppo su una specifica risorsa.
• Controlla e rimuovi eventuali SID (identificatori di sicurezza) sconosciuti o non risolti nelle voci di autorizzazione, che possono indicare account orfani.
• Assicurati che la risorsa sia di proprietà dell'utente o del gruppo corretto, poiché il possesso può sovrascrivere altri permessi. Come amministratore, potresti dover assumere la proprietà del file o della cartella e reimpostare i permessi.
• Per i gruppi critici, prendere in considerazione l'assegnazione esplicita dei permessi necessari invece di fare affidamento esclusivamente sull'ereditarietà.

Risoluzione dei conflitti di permessi condivisi nidificati

I permessi sovrapposti o ereditati dall'annidamento causano problemi di accesso inaspettati o conflitti. Per risolvere questi problemi:

• Rivedi i permessi effettivi combinando i permessi di condivisione e NTFS, ricordando che il permesso più restrittivo ha la precedenza.
• Se possibile, evita di utilizzare condivisioni nidificate quando possibile, poiché possono creare scenari di permessi confusi.
• Traccia le gerarchie dei permessi mappando le autorizzazioni ereditate tra i livelli per comprendere il flusso e identificare i conflitti.
• Verifica i permessi di Deny a qualsiasi livello, poiché possono sovrascrivere i permessi di Allow superiori nella gerarchia.

Utilizzo efficace dell'ereditarietà dei permessi

È possibile semplificare la gestione consentendo alle risorse di ereditare i permessi dagli oggetti genitori. Tuttavia, assicurati di comprendere come funziona l'ereditarietà, poiché i permessi ereditati dalle cartelle genitrici possono sovrascrivere i permessi espliciti assegnati alle cartelle figlie, concedendo potenzialmente un accesso più ampio di quanto previsto. Queste migliori pratiche possono aiutare:

• Rivedere periodicamente le impostazioni ereditate per assicurarsi che siano conformi alle politiche organizzative.
• Per aggiornare tutte le sottocartelle e i file quando si modificano i permessi di una cartella, utilizzare l'opzione Sostituisci tutte le voci di autorizzazione degli oggetti figlio con voci di autorizzazione ereditabili da questo oggetto.
• Prestare attenzione quando si interrompe l'ereditarietà, poiché può portare a problemi di accesso inaspettati. Disabilitare l'ereditarietà solo quando assolutamente necessario e assicurarsi di comprendere le implicazioni.

NTFS vs. Share Permissions: Scegliere la Strategia Giusta

Nella maggior parte delle situazioni, i permessi NTFS sono la scelta migliore poiché sono legati direttamente al file system. Nei casi in cui gli utenti accedono alle risorse direttamente su una macchina Windows su cui sono loggati, NTFS è l'unica opzione, dato che i permessi di condivisione dei file non limitano l'accesso locale. I permessi NTFS offrono anche un controllo più dettagliato sui file e sulle sottocartelle all'interno di una cartella condivisa, e possono adattarsi a strutture di permessi più complesse quando è necessario impostare permessi diversi per vari utenti o gruppi su file o sottocartelle specifici.

Ci sono casi in cui i permessi di condivisione di Windows possono essere più adatti. In particolare, per qualsiasi unità partizionata con FAT32, i permessi NTFS non sono un'opzione. Inoltre, i permessi di condivisione ti permettono di limitare il numero di utenti remoti che possono accedere contemporaneamente a una cartella condivisa. I permessi di condivisione possono anche essere adatti in un piccolo ufficio dove le risorse sono accessibili solo attraverso la rete e non c'è un amministratore dedicato a gestire l'ambiente.

Otterrete i migliori risultati, tuttavia, quando combinate i permessi NTFS e di condivisione, ricordando che il permesso più restrittivo avrà sempre la precedenza. Mantenete i permessi di condivisione ampi e utilizzate i permessi NTFS per un controllo dettagliato degli accessi. Una buona regola generale è impostare i permessi di condivisione su Controllo completo per gli amministratori e Modifica per gli utenti del dominio, e utilizzare i permessi NTFS per un controllo più granulare.

Automazione della gestione dei permessi

Gestire manualmente i permessi può essere un compito noioso e che richiede tempo, ed è soggetto a errori umani che possono compromettere la sicurezza. L'automazione può migliorare la sicurezza e ridurre il carico di lavoro amministrativo.

Controllo degli accessi basato sui ruoli (RBAC) e strumenti di automazione

Con il RBAC, i diritti di accesso vengono concessi ai ruoli piuttosto che agli utenti singoli, e poi a ogni utente viene assegnato il ruolo o i ruoli appropriati in base alle loro funzioni lavorative. Quando le esigenze di un ruolo cambiano, come ad esempio quando viene adottata una nuova applicazione o un nuovo database, al ruolo vengono concesse le nuove autorizzazioni appropriate e tutti gli utenti con quel ruolo ereditano automaticamente tali permessi. Quando i doveri di un utente particolare cambiano, i suoi permessi possono essere aggiornati semplicemente cambiando i suoi assegnamenti di ruolo.

Uno strumento nativo per la gestione dell'accesso e dei permessi degli utenti è Active Directory (AD). AD fornisce modelli di utente che semplificano la creazione degli account, consentono l'assegnazione dei permessi basata su gruppi e si integrano perfettamente con numerose applicazioni di terze parti. Sul mercato sono disponibili anche alcuni eccellenti strumenti di terze parti. Ad esempio, SolarWinds Access Rights Manager (ARM) e Lepide possono aiutare ad automatizzare la fornitura degli utenti, mentre Netwrix Identity Manager offre la gestione del ciclo di vita dell'identità, la certificazione dell'accesso e la generazione di report di audit per garantire che gli utenti abbiano l'accesso appropriato alle risorse in base ai loro ruoli

Conclusione

Padroneggiare le sfumature tra autorizzazioni di condivisione e autorizzazioni NTFS è essenziale per applicare il principio del minimo privilegio in un ambiente Windows.
Sfruttare l’eredità delle autorizzazioni, adottare il controllo degli accessi basato sui ruoli e utilizzare strumenti di automazione avanzati può rendere la gestione degli accessi molto più semplice per te come amministratore. Seguendo le migliori pratiche illustrate in questa guida e investendo negli strumenti adeguati, potrai garantire una gestione efficace delle autorizzazioni e una maggiore sicurezza informatica.

FAQ

Qual è la differenza tra i permessi di condivisione e i permessi NTFS?

Le autorizzazioni Share e NTFS svolgono ruoli diversi ma complementari nella sicurezza di Windows:

• I permessi di condivisione controllano l'accesso alla rete solo per le risorse condivise. Questi permessi non influenzano l'accesso locale ai file e alle cartelle. Ci sono tre livelli di base: Lettura, Modifica e Controllo completo.
• Le autorizzazioni NTFS offrono una protezione completa sia per l’accesso locale che per quello di rete, con sei livelli di autorizzazioni dettagliate: Lettura, Scrittura, Visualizza contenuto della cartella, Lettura ed esecuzione, Modifica e Controllo completo. Le autorizzazioni NTFS si applicano a tutti i file e le cartelle presenti nei volumi NTFS, supportano l’eredità e le autorizzazioni speciali, e consentono il crittografamento dei file.

Quale ha la precedenza, i permessi NTFS o quelli di condivisione?

Quando sono presenti sia i permessi NTFS che quelli di condivisione, Windows applica il permesso più restrittivo. Ad esempio, se i permessi di condivisione consentono il Controllo completo ma NTFS limita a Lettura, l'utente avrà solo accesso in Lettura.

Cosa succede quando si combinano i permessi di condivisione e i permessi NTFS?

Quando i permessi di condivisione e NTFS sono combinati, si applica sempre il permesso più restrittivo. Questo fornisce un ulteriore strato di sicurezza assicurando che gli utenti non possano superare il loro livello di permesso più limitato, indipendentemente dal fatto che provenga dai permessi di condivisione o NTFS.

Qual è lo scopo dei permessi NTFS?

Lo scopo principale dei permessi NTFS è consentire un controllo degli accessi basato sul principio del minimo privilegio, sia che la risorsa sia accessibile localmente o attraverso la rete. Essi inoltre:

• Supporto dell'ereditarietà tramite gerarchie di cartelle
• Fornire un controllo granulare sulle cartelle condivise e sui loro contenuti
• Consenti la crittografia di file e cartelle
• Abilita l'audit dei tentativi di accesso

Le autorizzazioni NTFS hanno la precedenza sulle autorizzazioni di condivisione?

Le autorizzazioni NTFS non sovrascrivono le autorizzazioni di condivisione per impostazione predefinita. Tuttavia, se si accede a una risorsa tramite la rete, le autorizzazioni di condivisione non possono concedere un livello di accesso superiore rispetto all'autorizzazione NTFS attiva. Quando entrambi i tipi di autorizzazione sono abilitati, prevale l'autorizzazione più restrittiva.

Cosa succede quando si combinano i permessi di condivisione e NTFS su una condivisione?

Quando si combinano i permessi di condivisione e NTFS su una risorsa condivisa, il permesso più restrittivo ha la precedenza. Mentre i permessi di condivisione non si applicano per l'accesso locale, sia i permessi di condivisione che quelli NTFS possono essere applicati per l'accesso alla rete. Ad esempio, se i permessi di condivisione sono Controllo completo e i permessi NTFS sono di sola lettura, l'utente avrà solo accesso di lettura

Quali sono le migliori pratiche per le autorizzazioni di condivisione e NTFS?

• Utilizza i permessi di condivisione per un controllo di accesso generale e affidati a NTFS per una gestione dettagliata dei permessi.
• Mantieni i permessi semplici e organizzati
• Ad eccezione dei file che si trovano su una partizione non NTFS, non affidarti esclusivamente ai permessi di condivisione.
• Rimuovi tutti i diritti di amministratore non necessari.
• Utilizzare i permessi di negazione espliciti solo in circostanze speciali.
• Monitorare i modelli di accesso per identificare tentativi sospetti di accesso a dati sensibili.
• Effettua revisioni periodiche delle tue impostazioni di autorizzazione per assicurarti che siano allineate con le pratiche commerciali attuali e i requisiti di sicurezza.