MEADMINIT infrastructureСвязаться+7 (968) 903-69-68
Меню

Кейс

Файловый сервер: Everyone Full Control и «мы так исторически»

Аудит после утечки коммерческого предложения: шары открыты всем аутентифицированным, вложенные «закрытые» папки не закрыты. Нужно было сузить права, не остановив отделы.

Обсудить задачу Позвонить
  • Дистрибьютор, ~70 пользователей, Москва
  • Срок: 2 недели поэтапного сужения
  • Стек: Windows file server, NTFS, AD groups, DFS namespace

Исходное состояние

Что было на площадке

На \fs01share корень давал Everyone Modify. «Секретные» папки руководства наследовали это же. Увольнения за три года не чистили ACE. Квоты не было: диск 8 ТБ, 6.2 занято дублями.

Повод: КП ушло конкуренту. Виновного по логам не найти — аудит объекта выключен, все ходят под своими учётками в одну кучу.

Рамки

Ограничения и задача

  • Нельзя «закрыть всё и разберёмся»: продажи живут с шары.
  • Нет актуального оргштата: HR таблица расходилась с AD.
  • Старые персональные ACE на 400+ папках — ручное редактирование не взлетит.

Работы

Что сделали

  1. Сняли icacls/Get-Acl в отчёт, включили аудит успешных чтений на чувствительных каталогах на период расследования.
  2. Согласовали с руководителями матрицу: отдел → группа AD → каталог. Персональные права — исключение с датой пересмотра.
  3. Сужали по веткам: сначала финансы и кадры, затем коммерция, затем общее. После каждой ветки — день «тикетов доступа», не сюрприз в понедельник.
  4. Everyone/Authenticated Users сняли с корня, доступ — через группы. Старые ACE почистили скриптом с dry-run.
  5. Включили квоты и теневые копии на том, плюс backup независимо от снапшотов тома.

Факт

Результат

  • КП и кадры недоступны смежным отделам. Продажи работают.
  • Тикеты «дай доступ» пошли через группу, а не через «добавь меня в папку».
  • При следующем увольнении достаточно вывести из групп — не охотиться по ACL.

Практика

Выводы

  • Everyone на корне убивает любую «закрытую папку» ниже, если наследование не сломали осознанно.
  • Без аудита доступа разбор утечки — гадание.
  • Права выдают группами AD. Персональный ACE — долг, который надо закрывать.

Стек

Технологии в этом кейсе

  • NTFS
  • Active Directory
  • DFS
  • File Server Resource Manager

Практика

Материалы по теме

Перелинковка

Связанные услуги

Соседние направления, которые обычно закрывают зависимости и усиливают результат выбранной услуги.

Весь каталог услуг →

Консультация

Разбрать похожую ситуацию

Опишите инфраструктуру и ожидаемый результат. Уточним вводные и предложим следующий практический шаг.

Связаться с MEADMIN +7 (968) 903-69-68