Владелец файловой шары: матрица доступа и ежеквартальная сверка
Назначьте человека-владельца каждой файловой шаре и раз в квартал сверьте фактические права с матрицей: нет Everyone, нет «гостя», группы названы. Когда шара уже открыта миру — инцидент: открытая шара или бакет. Что лежит на шаре по классу: классификация данных. Узлы в реестре: реестр ИТ-активов.
Статья опирается на логику направления «Безопасность данных» из методики зрелости Группы Сбер (источник); это методика для крупных компаний, мы используем её как ориентир и пересказываем своими словами. CIS Control 3: cisecurity.org/controls. Список прав SMB: Get-SmbShareAccess. Это не российский закон. Чужие шары не сканируйте. DLP ловит выгрузку, не заменяет владельца: когда нужен DLP.
Матрица, не «общая папка»
Одна строка — одна шара. Минимум полей:
| Поле | Пример смысла |
|---|---|
| Имя и путь | Как в SMB, не «диск X» |
| Владелец | Человек, который решает, кому можно. Не «ИТ» |
| Группы на чтение / изменение | Имена групп, не персональные учётки вперемешку |
| Класс данных | Ссылка на классификацию |
| Дата сверки | Квартал, иначе права копятся |
Владелец шары согласует доступ, ИТ только исполняет. Без имени в строке шара становится свалкой, и плейбук открытого бакета вы запускаете слишком поздно.
Сверка с фактом
На своём файловом сервере Windows:
Get-SmbShare | ForEach-Object { Get-SmbShareAccess -Name $_.Name }Ожидаемо: для каждой рабочей шары есть Allow только вашим группам; нет Everyone, Guest, Anonymous. Сверьте строки с матрицей. Лишнюю группу снимает владелец шары, не «админ на всякий». Риск: снять доступ бухгалтерии в пятницу вечером без предупреждения — согласуйте окно, не оставляйте Everyone «пока».
Административные шары вроде C$ не путайте с пользовательскими: их не тащите в матрицу отдела, их закрывает сегмент управления.
Диагностика
| Симптом | Причина и что делать |
|---|---|
| Everyone Full на «общей» | Нет владельца. Назначьте, уберите Everyone, пересмотрите состав |
| Права на NTFS одни, на шаре другие | Сверяйте оба. Матрица описывает шару, NTFS не должен быть шире |
| Бывший сотрудник в группе шары | Отзыв доступа не дошёл. Связка с увольнением, не только с AD |
| Шара видна из интернета | Уже инцидент. Плейбук открытой шары, не «поправим матрицу завтра» |
Где это в модели зрелости
Материал относится к направлению «Безопасность данных» (хаб: данные, карта: карта зрелости). Классификация помечает содержимое. Реестр знает сервер. Эта страница — кто отвечает за папку и какие группы на ней живут.
Как проверить
- У каждой пользовательской шары в матрице есть человек-владелец и дата сверки не старше квартала.
- Вывод Get-SmbShareAccess не содержит Everyone и Guest на рабочих шарах.
- Лишняя группа за квартал хотя бы раз снималась, не только добавлялась.
- Это не плейбук открытого бакета и не внедрение DLP.
Источники
- CIS Control 3: cisecurity.org/controls.
- Get-SmbShareAccess: learn.microsoft.com.
