MINISTÉRIO DA EDUCAÇÃO SECRETARIA DE EDUCAÇÃO PROFISSIONAL E TECNOLÓGICA CENTRO FEDERAL DE EDUCAÇÃO TECNOLÓGICA DE PELOTAS UNIDADE DE PASSO FUNDO - PDF
Download "MINISTÉRIO DA EDUCAÇÃO SECRETARIA DE EDUCAÇÃO PROFISSIONAL E TECNOLÓGICA CENTRO FEDERAL DE EDUCAÇÃO TECNOLÓGICA DE PELOTAS UNIDADE DE PASSO FUNDO"
Raíssa Valgueiro Caldeira
1 3. Controle de Acesso Permissões de Compartilhamento e Permissões NTFS Segurança, sem dúvidas, é um dos temas mais debatidos hoje, no mundo da informática. Nesse capitulo vamos estudar algumas opções do Windows XP Professional que ajudam a manter os seus arquivos mais protegidos, longe do alcance de intrusos. Trataremos sobre as permissões de compartilhamento e também permissões NTFS. Veremos como a correta configuração dessas permissões pode tornar o acesso aos seus arquivos bem mais seguro e protegido, com o acesso permitido apenas para os usuários habilitados através das permissões. Veremos como compartilhar uma Pasta, disponibilizando o seu conteúdo, para que seja acessado através da rede. Também aprenderemos a atribuir permissões de segurança permissões NTFS, para que somente usuários autorizados possam acessar as pastas compartilhadas. 3.1 Níveis de controle de acesso O Sistema permite dois tipos de níveis de controle de acesso a recursos: Em nível de compartilhamento - é controlado pelo Controlador de Domínio da Rede. Neste nível de segurança é controlado o acesso a recursos via rede. É como se fosse uma primeira porta" (controle de acesso em nível de compartilhamento) na qual somente podem "passar" (acessar via rede) quem tiver uma "chave" (permissão de acesso). Em nível de arquivo - é controlado através do Sistema de Arquivos do Windows. É um nível de segurança local, implementado internamente no sistema operacional em Sistemas de Arquivos que suportam este tipo de controle de acesso. É como se fosse uma "segunda porta" (controle de acesso em nível de arquivo) na qual somente podem "passar" (acessar o arquivo) quem tiver uma "chave" (permissão de acesso). 1
2 Seguindo este modelo, para você poder acessar um recurso compartilhado que tem dois níveis de controle de acesso, você necessariamente deverá ter os dois tipos de permissões de acesso: um para o nível de compartilhamento e outro para o nível de arquivo. Nota: o controle de Acesso em Nível de Arquivo só pode ser implementado em Sistemas de Arquivos que suportam este tipo de controle. Por exemplo, para Windows 95, que só suporta FAT, este tipo de controle de acesso é inexistente. Se o recurso está sob um sistema de arquivos que não suporta controle de acesso em nível de arquivo (por exemplo, FAT), para um usuário acessar um recurso através da rede ele precisa apenas da permissão de nível de compartilhamento. 3.2 Compartilhamento Quando compartilhamos uma pasta, estamos permitindo que o seu conteúdo seja acessado através da rede. Quando uma pasta é compartilhada, os usuários podem acessá-la através da rede, bem como o todo o conteúdo da pasta que foi compartilhada. Por exemplo, poderíamos criar uma pasta compartilhada onde seriam colocados documentos, orientações e manuais, de tal forma que estes possam ser acessados por qualquer estação conectada a rede. Ao compartilharmos uma pasta todo o conteúdo dessa pasta passa a estar disponível para ser acessada através da rede. Todas as subpastas da pasta compartilhada também estarão disponíveis para acesso através da rede. Para compartilhar uma pasta clique com o botão da direita e acesse compartilhamento. 2
3 3.3 Escondendo compartilhamentos Se você desejar que algum compartilhamento não seja visto no Ambiente de Rede, você deve simplesmente adicionar um caractere cifrão "$" após o nome de compartilhamento. Desta maneira, o recurso somente poderá ser acessado através de UNCs, do tipo \\nome_do_computador\compartilhamento$. 3.4 Permissões de Compartilhamento Quando uma pasta é compartilhada, não significa que o seu conteúdo deva ser acessado por todos os usuários da rede. Podemos restringir o acesso, de tal maneira que somente usuários autorizados tenham acesso à pasta compartilhada, isso é feito através de "Permissões de compartilhamento". Depois de criar compartilhamentos, você deve definir "quem pode acessar" e "como é o acesso" ao compartilhamento. Você define quem pode acessar o compartilhamento adicionando grupos ou usuários na lista de controle de acesso (ACL - Access Control List)do recurso compartilhado. Para cada membro da lista (grupo ou usuário) você deve definir como é o tipo de acesso ao compartilhamento: controle total, alterar, ler ou sem acesso Tipos de acesso a compartilhamentos Existem 4 tipos de acesso a compartilhamentos. O tipo de acesso Controle total é o menos restritivo, portanto é o que fornece mais permissões ao usuário ou grupo que tem este tipo de acesso. Todas permissões que um tipo oferece é englobado pelo tipo de menor restrição. 3
4 Controle total [Full Control] - Permite alterar permissões e tomar propriedade de pastas e arquivos (somente aplicável em partições NTFS) e todas permissões do tipo de acesso Alterar. Alterar [Change] - Permite criar arquivos e pastas, alterar dados em arquivos, excluir pastas e arquivos e todas permissões do tipo de acesso Ler. Ler [Read] - Permite visualizar nomes de arquivos e pastas, deslocar por sub-pastas, ler dados em arquivos e executar aplicativos. Sem acesso [No acess] - Impede acesso à pasta, sub-pasta e seus arquivos. Por exemplo, você usaria Sem acesso para um usuário que é membro de um grupo com permissão de acesso Controle total, mas não deseja que somente este usuário não tivesse acesso ao recurso Como controlar o acesso a recursos compartilhados Acesse as propriedades de um pasta compartilhado clicando com o botão direito do mouse no ícone da pasta compartilhada. Na janela de propriedades da pasta, acesse a opção Compartilhamento. Clique no botão Permissões. Abrirá uma janela apresentando uma lista de grupos e usuários que podem acessar o recurso (ACL). Note que o default para permissões de compartilhamento é para Todos acessarem. Você pode remover este item da lista clicando no botão Remover. Clique no botão Adicionar para associar um novo item na lista de acesso. Selecione um grupo ou usuário. Clique em Adicionar para adicionar o grupo ou usuário que você deseja adicionar. Adicione outros grupos ou usuários que você desejar. Selecione o tipo de acesso na caixa de seleção Tipo de Acesso que os grupos e usuários terão para acessar o recurso. 4
5 Clique em OK. 3.5 Implementando segurança NTFS Controle de acesso em nível de arquivo somente pode ser feito em sistemas de arquivos NTFS. Em sistemas de arquivos FAT somente é suportado controle de acesso em nível de compartilhamento. Ou seja, se alguém tiver acesso físico ao computador com uma partição FAT, ele terá controle total aos recursos do computador armazenados na partição FAT, enquanto que em uma partição NTFS, ele ainda terá que ter permissões de arquivo Permissões NTFS Permissões em nível de arquivo também são chamadas de Permissões NTFS, pois são implementadas pelo Sistema de Arquivos NTFS. Quando referimos a permissões de acesso em nível de arquivo, não estamos dizendo que as permissões são aplicáveis somente a arquivos, e sim que são implementadas pelo Sistema de Arquivos. O NTFS permite aplicar controle de acesso tanto para diretório quanto para arquivo. As permissões NTFS funcionam um pouco diferente das permissões de compartilhamento. Existem 6 permissões básicas NTFS, 2 a mais que as permissões de compartilhamento: Ler (R), Gravar (W), Executar (X), Excluir (D), Alterar permissões (P) e Apropriar-se (O). Dizemos básicas, pois elas podem ser combinadas, de maneira que podem formar permissões padrões ou permissões especiais. Em resumo temos: NTFS Compartilhamento Tipos de permissão Permite combinação de permissões Ler, Gravar, Executar, Excluir, Alterar permissões e Apropriar-se. Sim Controle total, Ler, Alterar e Sem Acesso Aplicabilidade Arquivos e pastas Somente a pastas Tipo segurança Local e em Rede Somente em Rede Permissões individuais, padrões e especiais As permissões NTFS individuais são aplicáveis para pasta e arquivo e têm efeitos diferentes em cada um. Permissão NTFS individual Ler (R) Gravar (W) Executar (X) pasta exibir nomes, atributos, proprietário e permissões da pasta adicionar arquivos e pastas, alterar atributos da pasta e exibir proprietário e permissões exibir atributos, proprietário e permissões, e alterar o nome da pasta arquivo Não exibir dados, atributos, proprietário e permissões do arquivo alterar dados, alterar atributos de arq., exibir proprietário e permissões. exibir atributos, proprietário e permissões e executar o arquivo Excluir (D) excluir a pasta excluir o arquivo 5
6 Alterar Permissões(P) alterar permissões alterar permissões Apropriar-se (O) apropriar-se da pasta apropriar-se do arquivo Raramente você utilizará as permissões NTFS individuais isoladamente. Geralmente você utilizará permissões NTFS padrões que consistem de combinações de permissões NTFS individuais. Permissões NTFS padrões facilitam a atribuição de permissões, uma vez que formam as combinações de permissões NTFS individuais mais utilizadas. Existem 7 permissões NTFS padrões para pastas e 4 permissões NTFS para arquivos. As permissões NTFS padrões para pastas é definido por dois tipos de combinações de permissões individuais. A primeira combinação, dentro do primeiro parênteses da permissão na tabela, define como é a permissão do próprio pasta. No segundo parênteses define como será a permissão de um arquivo que for criado na pasta. Permissão NTFS padrões para pastas O usuário não pode acessar de qualquer Sem acesso (Nenhum)(Nenhum) maneira, mesmo sendo membro de algum grupo que permita acesso O usuário pode somente listar os arquivos e Mostrar (RX)(Não subpastas da pasta e mudar para uma especificado) subpastas do pasta. Ele não pode ler arquivos criados nesta pasta. Ler. (RX)(RX) O usuário pode ler o conteúdo dos arquivos e executar os aplicativos da pasta Alterar (RWXD)(RWXD) O usuário pode ler, adicionar, excluir e alterar Adicionar Adicionar e Ler Controle total (WX)(Não especificado) (RWX)(RX) (Todos)(Todos) arquivos. O usuário pode adicionar arquivos, mas não pode visualizar o conteúdo do pasta. O usuário pode ler e adicionar arquivos à pasta, mas não pode alterá-los. O usuário pode ler e alterar arquivos, adicionar novos arquivos, alterar permissões para a pasta e seus arquivos e apropriar-se da pasta e de seus arquivos. Existem 4 permissões NTFS para arquivos: Permissão NTFS padrões para arquivos O usuário não pode acessar o arquivo de Sem Acesso (Nenhum) nenhuma maneira, mesmo se for membro de um grupo que tenha recebido concessão de acesso ao arquivo. Ler (RX) O usuário pode ler o conteúdo do arquivo e executá-lo, caso seja um aplicativo. Alterar (RWXD) O usuário pode ler, modificar e excluir o arquivo. Controle total (Todos) O usuário pode ler, modificar, excluir, definir permissões e se apropriar do arquivo. 6
7 Existe uma fonte de dúvida quando é utilizado o termo "permissão de acesso Ler". Rigorosamente não tem como saber se é a permissão individual Ler(R) ou a permissão padrão Ler(RX). Usualmente, quando diz-se somente "permissão Ler", sem especificar se é individual, ou padrão, considera-se que se trata da permissão padrão Ler(RX), que é mais usada que a outra. Você também pode fazer uso das permissões de acesso especial, que consiste das combinações de permissões individuais não-padrões. Permissões especiais permitem você personalizar seu conjunto de permissões individuais. Teoricamente, é possível utilizar 4089 permissões especiais para pastas e 60 permissões especiais para arquivos, que correspondem às combinações possíveis de permissões de acesso individuais não-padrão (corresponde a (2 6 x 2 6-7) permissões padrões para pastas, totalizando 4089 permissões e (2 6-4) permissões padrões para arquivos = 60). Neste conjunto enorme de permissões padrões, nem todas permissões especiais farão sentido, ou terão alguma utilidade Como as permissões NTFS são aplicadas As permissões NTFS são cumulativas, consistindo na união de todas as permissões individuais. Por exemplo, se o grupo Vendedores tem permissão Ler (RX) e o grupo Gerentes tem permissão Alterar (RWXD) para a pasta TABELAS e se o gerente de vendas Aníbal faz parte dos dois grupos, ele terá como resultado a permissão Alterar (RWXD) para a pasta. Nosso exemplo, se Aníbal também pertencesse ao grupo Despedidos que tem permissão Sem Acesso à pasta TABELAS, ele ficaria impossibilitado de acessar a pasta. Arquivos e sub-pastas herdam as permissões da pasta onde são criados. Por exemplo, se você criar um sub-pasta de uma pasta com permissão de acesso Alterar para o grupo Vendas e Ler para o grupo Treinamento, ele vai ter esta mesma permissão da pasta. Arquivos por outro lado herdam as permissões definidas no "segundo parênteses" da definição de permissão do arquivo. Por exemplo um arquivo obteria a permissão Ler (RX) se fosse criado em uma pasta com a permissão Adicionar e Ler (RWX)(RX). As permissões para arquivos sempre se sobrepõem às permissões para pastas. Por exemplo, se você têm um usuário com permissão Sem Acesso para uma pasta e Alterar (RWXD) para um arquivo desta pasta, ele poderá ler, gravar, executar ou excluir este arquivo fazendo uso de UNCs, por exemplo: Executando a linha de comando notepad \\Proteus\Apostilas\Sem_acesso\notas.txt, onde sem_acesso é uma pasta com permissão padrão Sem acesso, notas.txt é um arquivo com permissão Alterar. A permissão padrão Controle total permite exclusão de arquivos ou subpastas dentro da pasta, mesmo que as permissões dos arquivos ou subpastas não tenham dado esta permissão. Esta é a única exceção à regra onde as permissões de arquivos sempre se sobrepõem às permissões para pastas. Isto se deve à necessidade do NT ser compatível com aplicativos POSIX, que necessita conformidade com sistema de arquivos Unix. Por exemplo, se você tivesse um arquivo com permissão Sem acesso em uma pasta com permissão NTFS Controle total para Todos, este arquivo poderia ser excluído. Para solucionar este tipo de problema, você poderia 7
8 atribuir para a pasta todas as permissões individuais (RWXOPD) para Todos em vez de Controle total. Quando permissões NTFS e compartilhamento são combinadas, o tipo de permissão que vale é a mais restritiva Copiando e movendo arquivos NTFS * Quando uma pasta é copiada, ela e suas subpastas com seus conteúdos herdam as permissões da pasta de destino. O mesmo é válido para cópias de arquivos. * Quando uma pasta é movida para um mesma unidade de volume NTFS, ele e suas subpastas com seus conteúdos têm suas permissões preservadas. Quando é movido para unidades de volume NTFS diferentes (C: para D:, por exemplo), as permissões são herdadas da pasta de destino, funcionando como uma cópia. * Quando você copia ou move arquivos e pastas em volume FAT para volumes NTFS, todos os arquivos e pastas movidos herdam as permissões definidas pelo pasta de origem. * Quando você copia ou move arquivos e pastas em volumes NTFS para volumes FAT, você perde todas as definições de permissões contidas em todos arquivos e pastas. Não tem como recuperar as permissões perdidas Como a propriedade é aplicada Quando um usuário cria ou copia um arquivo ou pasta ele se torna o proprietário deste arquivo ou pasta. Além do conceito de permissão de acesso, é necessário ter conhecimento de propriedade, que permite certos "direitos" especiais ao proprietário: O proprietário pode sempre alterar as permissões de seus arquivos ou pastas, mesmo que a permissão do arquivo ou pasta não permita. Um usuário do grupo Administradores pode sempre apropriar-se de um arquivo ou pasta, porém nenhum usuário pode transferir propriedade, inclusive usuários do grupo Administradores. Este é um recurso interessante, pelo ponto de vista da segurança: se um "intruso" obter acesso aos seus arquivos e necessitar apropriar-se de algum deles, ele não terá como devolver a propriedade do arquivo para você, e assim ele poderá adulterar ou ler os arquivos apropriados, mas sempre deixará uma "pista' de quem foi o intruso, uma vez que o nome de usuário permanecerá "gravado" na propriedade do arquivo ou pasta. Quando um usuário é membro do grupo Administradores, a propriedade de arquivos e pastas criadas é atribuída ao grupo Administradores e não para o usuário Como atribuir permissões NTFS A atribuição de permissões NTFS é parecida com a atribuição de permissões de compartilhamento. Você inicia da mesma forma, clicando com o botão direito na pasta ou arquivo e acessando a opção propriedades. A seguir mostraremos como atribuir permissões NTFS para um pasta. Atribuir permissões para arquivo é semelhante a atribuição de permissões para pastas, porém é mais simples. Na opção propriedades de um pasta, clique em Segurança. A opção Compartilhamento, trata das permissões de compartilhamento e já foi visto anteriormente e a opção Segurança, trata das permissões NTFS. Clique no botão Avançado. 8
9 Selecione o grupo que você deseja atribuir acesso. Ajuste o tipo de acesso e clique em Ok. Selecione o tipo de acesso desejado que o(s) grupo(s) adicionados terão. No exemplo, escolhemos Adicionar e Ler. Você voltará para a janela `Permissões de pasta". Note as modificações efetuadas na ACL. 9
10 Exemplos de utilização de permissões NTFS A seguir apresentamos exemplos práticos para atribuição de permissões (NTFS e de compartilhamento) para pastas compartilhados no servidor. Não queira seguir os exemplos a seguir como regra geral, pois são exemplos subjetivos. Caberá ao administrador fazer uso do conhecimento e bom senso para utilizar as permissões de acesso mais convenientes para cada caso, aumentando ou diminuindo a segurança. Pastas de programas Um serviço comum de servidores é como servidor de aplicações. Você pode economizar espaço de disco nas estações, instalando apenas um aplicativo no servidor, em vez de vários aplicativos idênticos nas estações. Uma configuração padrão poderia ser: Atribua à pasta superior do compartilhamento acesso especial para Administradores (grupo local), com todas permissões individuais atribuídas para pastas (RWXPDO) e arquivos (RWXPDO). Remova todas as atribuições de permissões para os outros grupos. Atribuir todas permissões individuais é melhor que usual atribuição default Controle total, uma vez que isto impedirá que outros usuários excluam arquivos ou sub-pastas dentro da pasta, quando as permissões destes arquivos ou sub-pastas não permitir exclusão (veja o item "Como as permissões NTFS são aplicadas", neste capítulo). Atribua à pasta compartilhada permissões de acesso de compartilhamento Controle total para Administradores e Ler para Usuários. Para permissões NTFS atribua permissões de acesso Ler (RX)(RX) para Usuários e acesso especial (RXP)(RXP) para Administradores. A atribuição de permissão de compartilhamento Controle total para Administradores é útil para Administradores poderem administrar o compartilhamento remotamente, executando tarefas de troca de tipo de permissão para o compartilhamento, por exemplo. Remova sempre a permissão default Controle total para Todos, e atribua Ler para Usuários. O grupo Usuários é mais seletivo, uma vez que inclui somente usuários cadastrados no domínio, enquanto que o grupo Todos pode incluir usuários de outros domínios confiáveis. Atribuir aos programas permissões de Ler(RX) tanto para Usuários quanto para Administradores previne contra problemas com vírus e cavalos de tróia. O único inconveniente para este tipo de permissão é que o Administrador terá que lhe atribuir a permissão para pasta Gravar (W) quando for instalar um novo 10
11 programa e retirar a permissão, quando terminar de instalar. Você poderia fazer exceções à regra quando um programa específico tiver que gravar na pasta que ele está armazenado. Neste caso, você teria que permitir Gravar (W) para Usuários e Administradores na pasta do programa. Pastas de dados Geralmente você poderia utilizar compartilhamentos de dados para armazenar arquivos de dados como documentos, planilhas, arquivos de banco de dados, etc. Usar compartilhamento de dados em servidores permite fazer backup de dados mais facilmente. Uma maneira de aplicar segurança em tais compartilhamentos é a seguinte: Atribua a pasta superior do compartilhamento acesso especial para Administradores (grupo local), com todas permissões individuais atribuídas para pastas (RWXPDO) e arquivos (RWXPDO). Remova todas as atribuições de permissões para os outros grupos. As razões são as mesmas para pastas de compartilhamentos de programas. Crie uma pasta de compartilhada de Dados, atribuindo permissão de compartilhamento e NTFS Controle total para Administradores. Remova qualquer outra permissão extra. Ter esta pasta compartilhada Dados permite que Administradores acessem mais facilmente a pasta, para executar tarefas administrativas. Crie sub-pastas da pasta compartilhada de Dados, atribuindo permissão de compartilhamento Controle total para Administradores e Alterar para grupos relacionados a pasta compartilhada. Atribua permissão NTFS Controle total para Administradores e para o Proprietário Criador, para grupos relacionado, atribua Alterar e ler. Desta maneira, grupos poderão acessar pastas que lhe são úteis. Por exemplo, Gerentes poderiam acessar as pastas Gerência e Vendas, enquanto Vendedores poderiam acessar Vendas. 11
12 Usuários que tivessem acesso a uma pasta, poderiam incluir dados na pasta, mas somente o criador do documento (dado) poderia excluí-lo. Os outros usuários poderiam apenas ler (RX) o arquivo. Administradores poderiam fazer livremente a manutenção dos arquivos, excluindo arquivos desnecessários, por exemplo. Pastas base Pastas base são pastas onde usuários armazenam informações pessoais. Para criar pastas bases compartilhadas, siga o seguinte esquema: Compartilhe um pasta usuários, que servirá como ponto de administração de pastas base. Utilize a permissão de compartilhamento e NTFS Controle total para Administradores e Ler para Usuários. O único inconveniente deste tipo de esquema é que quando um usuário se conecta em um drive mapeado em sua pasta base, ele é posicionado na pasta USUÁRIOS e não na sua pasta. Por exemplo, o usuário Rnunes se conecta na unidade mapeada de Z:\ para d:\usuários\rnunes, mas sempre que ele visualiza o pasta Z:, ele está na verdade na pasta d:\usuários. Você poderia resolver este inconveniente criando um compartilhamento para cada usuário, porém isto seria ruim para domínios com quantidade muito grande de usuários. Em algumas instalações do NT, é criada automaticamente uma pasta chamada Users, você pode utilizá-la ou eliminá-la e usar outra criada por você, sem nenhum problema. Crie pastas de usuários através do Gerenciador de usuários para domínios, preenchendo o campo Pasta base com uma letra de unidade mapeada para a pasta base. A melhor maneira de criar pastas base de usuários é através do gerenciador de usuários. Quando você preenche, por exemplo, o campo pasta base com a letra de unidade Z: e o mapeia para \\servidor\usrs\%username%, ele cria automaticamente a pasta base no compartilhamento USRS com nome do usuário, atribui propriedade para o usuário e permissão de controle total ao usuário. Ao criar esta pasta base, ele não herda as permissões da pasta em que ela é criada, portanto administradores não terão nenhuma permissão de acesso à pasta a não ser que se apropriem dela. 12
13 Pastas públicas Pastas públicas são úteis para que usuários tenham um acesso facilitado comum para troca e compartilhamento de arquivos que não necessitam de muita segurança ou propriedade. Em volumes NTFS, crie compartilhamentos com permissões de compartilhamento e NTFS Alterar atribuído a Usuários. A permissão NTFS Alterar é melhor que Controle total, uma vez que Alterar não permite apropriar da pasta. 13