Melhores práticas de gerenciamento de permissões NTFS

Configurando Permissões NTFS

• Crie uma política de permissões do servidor de arquivos que defina claramente o seu processo de gestão de permissões.
• Use Active Directory groups em todos os lugares. Não atribua permissões NTFS a indivíduos, mesmo que você tenha que criar centenas de grupos. É muito mais fácil gerenciar 200 grupos do que 2.000 permissões únicas.
• Configure as permissões NTFS para os ativos, atribua funções a essas permissões e atribua pessoas às funções. Por exemplo, suponha que você tenha um compartilhamento chamado HR em fileserver1. Faça o seguinte:

1. Para este compartilhamento, crie os seguintes grupos locais de domínio no seu AD com as permissões mostradas:
   • fileserver1_HR_read (Somente leitura)
   • fileserver1_HR_modify (Ler e Modificar)
   • fileserver1_HR_fullcontrol (Controle Total)
2. Utilize estes grupos para definir as permissões NTFS para os direitos de usuário apropriados.
3. Crie um grupo global no AD chamado HR para o seu pessoal de RH. Adicione este grupo global ao grupo local do domínio fileserver1_HR_read, e depois adicione contas de usuário ao grupo global HR. O que você fez agora foi vincular um ativo a uma permissão e as permissões a um papel. À medida que você expande sua rede e adiciona diferentes ativos e áreas de acesso ao papel, você poderá ver facilmente quais ativos um papel pode acessar.

Pessoas (contas de usuário) -> Função (grupo global do AD) -> Permissões (grupo local de domínio do AD) -> Ativo (arquivo ou pasta em um servidor de arquivos)

• Evite conceder aos usuários a permissão de Controle Total. Controle Total permite que os usuários alterem as permissões NTFS, o que usuários comuns não deveriam precisar fazer. Direitos de Modificação devem ser tudo o que é necessário para a maioria dos usuários.
• Atribua as permissões mais restritivas que ainda permitam aos usuários desempenhar suas funções. Por exemplo, se os usuários precisarem apenas ler informações em uma pasta e não alterar, excluir ou criar arquivos, atribua somente a permissão de Leitura.
• Remova a permissão Todos de todos os recursos, exceto a pasta global designada para trocas de arquivos.
• Crie um grupo Global Deny para que, quando os funcionários saírem da empresa, você possa remover rapidamente todo o acesso deles ao servidor de arquivos tornando-os membros desse grupo.
• Evite quebrar a herança de permissões tanto quanto possível. Haverá algumas pastas onde isso pode ser necessário, mas geralmente evite. Se algo fosse quebrar a herança, então ou precisa subir um nível ou você precisa reavaliar quem tem quais permissões na pasta pai. Por exemplo, se você precisa dar a alguém permissões de Leitura/Escrita para toda a pasta \Finance mas não para \Finance\Budget, você terá problemas mais tarde.
• Faça com que os usuários façam login usando contas de usuário de domínio em vez de contas locais. Essa abordagem centraliza a administração de permissões de compartilhamento.
• Todas as alterações de permissões devem ser auditadas à medida que ocorrem, e a hierarquia de permissões deve ser auditada pelo menos uma vez por ano.

Configurando Compartilhamentos de Arquivos

• Crie uma pasta de nível superior que servirá como pasta de armazenamento raiz para todos os dados criados pelos usuários (por exemplo, C:\Data). Crie subpastas dentro dela para segregar e organizar os dados de acordo com as funções de trabalho e requisitos de segurança.
• Garanta que apenas o departamento de TI possa criar pastas no nível raiz. Não permita nem mesmo que gerentes ou executivos criem pastas nos 1 ou 2 níveis superiores. Se você não restringir a hierarquia de nível raiz, sua estrutura de pastas organizada será rapidamente destruída. Os departamentos podem organizar suas pastas como desejarem, mas não permita pastas desnecessárias.
• Organize seus recursos de modo que objetos com os mesmos requisitos de segurança estejam localizados na mesma pasta. Por exemplo, se os usuários precisam da permissão de Leitura para várias pastas de aplicativos, armazene essas pastas na mesma pasta pai. Em seguida, conceda as permissões de Leitura para a pasta pai, em vez de compartilhar cada pasta de aplicativo individualmente.
• Certifique-se de que a enumeração baseada em acesso está ativada. A enumeração baseada em acesso exibe apenas os arquivos e pastas que um usuário tem permissão para acessar. Se um usuário não possui permissões de Leitura (ou equivalente) para uma pasta, o Windows oculta a pasta da visualização do usuário.
• Defina as permissões de compartilhamento de arquivos do Windows de forma bastante leniente — conceda a Todos, Usuários Autenticados ou Usuários do Domínio as permissões de Controle Total ou Modificar — e confie no NTFS para o verdadeiro gerenciamento de permissões.
• Evite ter compartilhamentos aninhados em suas estruturas de arquivos, pois eles podem criar comportamentos conflitantes para os mesmos recursos de rede se forem acessados através de compartilhamentos diferentes. Isso pode ser um convite para problemas, especialmente quando as permissões de compartilhamento são diferentes. Um compartilhamento aninhado é uma pasta compartilhada que reside dentro de outra pasta compartilhada. Existem, claro, os compartilhamentos ocultos padrão (C$, D$, etc.), que tornam todos os compartilhamentos abaixo deles aninhados, e eles são um padrão. No entanto, se seus usuários utilizarem dois compartilhamentos não ocultos e aninhados separadamente, pode haver permissões de compartilhamento conflitantes.
• Saiba quando copiar e quando mover. As operações padrão de cópia e movimentação fornecem resultados padrão que podem manter as suas permissões NTFS configuradas — ou rompê-las. Operações de cópia criarão as permissões do contêiner de destino, e operações de movimentação manterão as do contêiner pai. Para não se confundir, basta lembrar CC/MM — Cópias Criam, Movimentações Mantêm.

Top 5 Ferramentas de Permissões NTFS

• Ferramenta de Relatório de Permissões Efetivas da Netwrix
• NTFS Permissions Reporter da Cjwdev
• Enumeração de Acesso (utilitário da Microsoft)
• Permissions Reporter da Key Metric Software
• Permissions Analyzer da SolarWinds

Exportando permissões NTFS via Powershell

• Exportando permissões de pasta usando PowerShell
• Exportando permissões de usuário usando PowerShell
  

What are NTFS Permissions

NTFS (New Technology File System) é o sistema de arquivos padrão para o Windows NT e todos os sistemas operacionais Windows posteriores. Com o NTFS, você usa pastas compartilhadas para fornecer aos usuários da rede acesso a recursos de arquivos e, assim, gerenciar permissões para unidades e pastas. As permissões do NTFS estão disponíveis para todas as unidades formatadas com esse sistema de arquivos. Cada usuário pode escolher compartilhar unidades inteiras ou pastas individuais com a rede.

As principais vantagens das permissões NTFS são que elas afetam usuários locais e de rede e são baseadas nas permissões concedidas a cada usuário individual no logon do Windows, independentemente de onde o usuário está se conectando. Os administradores podem usar a utilidade NTFS para controlar o acesso a arquivos e pastas, contêineres e objetos na rede como parte da segurança do sistema.