Vier Schritte zu sicheren Dateifreigaben
Filesharing ohne Drama
Der Grundgedanke eines sicheren Austauschs von Dateien ist, dass ausschließlich die richtigen Benutzer Zugriff auf die Informationen haben, die sie brauchen, um ihre täglichen Aufgaben und Aktivitäten zu bewältigen - und nur diese Informationen. Bei einer enorm wachsendem Gesamtmenge an Daten ist dies aber alles andere als eine triviale Administrationsaufgabe. Die Unterteilung in vier logische Schritte vereinfacht den Prozess erheblich.
Eine der Herausforderungen für die zentrale IT-Verwaltung besteht darin, chaotische CIFS-/Windows-Freigaben in kontrollierte, sichere Dateisysteme zu überführen. Die Frage lautet: Wie ist dies machbar? Der Grundgedanke eines sicheren Austauschs von Dateien ist der, dass ausschließlich die richtigen Benutzer Zugriff auf die Informationen haben, die sie brauchen, um ihre täglichen Aufgaben und Aktivitäten zu bewältigen - und nur diese Informationen. Setzt ein Betreiber ein solches Konzept korrekt um, ermittelt er zudem vertrauliche Daten, die dann an den richtigen Stellen gespeichert sind.
Das klingt in der Theorie ganz einfach, ist in der Praxis aber um einiges komplizierter. Strategien, um Datenverluste zu vermeiden (Data Loss Prevention, DLP), waren ursprünglich so etwas wie die Patentlösung für sichere Dateifreigaben. Im Alltag stellte sich allerdings heraus, dass es nicht ausreicht, die Daten in internen Strukturen zu klassifizieren. Um den Wert der in ihnen enthaltenen Informationen richtig einzuschätzen, benötigt man den gesamten Kontext und tiefer gehende Analysen.
Ein weiteres Problem besteht darin, dass Betreiber Berechtigungen oft zu großzügig vergeben. Die Dateisysteme sind über viele Jahre hinweg organisch gewachsen und lassen sich - wenn überhaupt - nur noch schwer manuell verwalten. Infolgedessen wird die Vergabe von Berechtigungen fast immer weniger streng gehandhabt, als es sinnvoll wäre. Der Hauptgrund dafür: Berechtigungen lassen sich nur schwer nachvollziehen und im Detail verstehen. Zugriffsaktivitäten werden selten überprüft.
Will ein Betreiber dieses Problem lösen, muss er exakt dieser Stelle etwas ändern. Die gute Nachricht: Die Technik, mit der er sich einen Überblick darüber verschaffen kann, wie die vergebenen Berechtigungen aussehen und sie funktionieren, gibt es bereits. Haben die Verantwortlichen erst ein Mal herausgefunden und verstanden, wer über welche Berechtigungen verfügt, können sie auch die Daten wieder kontrollieren. Dazu sind im Wesentlichen vier Schritte notwendig.
Erster Schritt: Vereinfachen
Ordner befinden sich in einem dieser drei Zustände:
die Berechtigungen sind direkt zugewiesen: jeder Eintrag von Zugriffsberechtigungen wird direkt auf die Access Control List (ACL) angewendet, also in der Zugriffskontrolle eingetragen,
die Berechtigungen sind vererbt: die Zugriffsberechtigungen sind nicht direkt zugewiesen. Stattdessen sind sie vom übergeordneten Verzeichnis geerbt,
und zu guter Letzt gibt es noch die Kombination aus direkt zugewiesenen und vererbten Berechtigungen.
Will der Betreiber die Freigaben wieder kontrollieren, sollten Ordner entweder alle Berechtigungen vererben oder keine. Solche Berechtigungen sollten niemals kombiniert auftreten. Als nächstes sollte ein Administrator die Berechtigungen standardisieren: In der Regel verfügt dann jeder Ordner mit eigenen Berechtigungen über eine Gruppe mit Lesezugriff, eine Gruppe mit Lese-/Schreibzugriff und administrative Gruppen.
Dabei gilt es, Gruppenverschachtelungen zu vermeiden. Grundsätzlich ist es besser, der ACL eine lokale Domänengruppe oder eine universelle Gruppe zuzuweisen und Benutzer dann zu dieser Gruppe hinzuzufügen. In einigen Fällen können auch verschachtelte Gruppen das Mittel der Wahl sein (nach der von Microsoft empfohlenen AGLP-Strategie), insbesondere dann, wenn bereits eine Gruppe mit den korrekten Benutzern erstellt worden ist und der Gruppenbesitzer sie sorgfältig pflegt. In Access-Control-Liste sollten grundsätzlich nur Gruppen und niemals einzelne Benutzer verzeichnet sein.
Der Administrator sollte anschließend NTFS-Berechtigungen verwenden, um die Windows-Freigaben zu verwalten und die Freigabeberechtigungen standardisieren, anstatt beides zu verwalten. Dazu gewährt er beispielsweise allen authentifizierten Benutzern Zugriff auf die freigegebenen Objekte und verwendet dann NTFS-Berechtigungen, um den Zugriff differenziert zu steuern. Er sollte dabei außerdem versuchen, verschachtelte Freigaben zu vermeiden. In einem letzten Schritt legt der Administrator die Berechtigungen zum Durchsuchen ordnungsgemäß fest, bis hin zu den Freigaben. Wenn er beispielsweise einem Benutzer Zugriff auf einen Ordner gewähren will, der mehrere Ebenen unterhalb einer Freigabe liegt, benötigt er Berechtigungen zum Durchsuchen für die gesamte Struktur. Es ist sinnvoll, die Berechtigungen nicht manuell zu vergeben, sondern mithilfe einer automatisierten Lösung, die sie richtig setzt und überwacht.
Berechtigungen zuweisen und Data Owner einbinden
Im zweiten Schritt werden die rechtmäßigen Data Owner als solche Benutzer im Unternehmen identifiziert, die über Hintergrundinformationen zu den Daten verfügen und am besten einschätzen können, wie wichtig sie sind. Danach sollten sie in den Umgang mit den Daten eingebunden werden.
Wenn die richtigen Data Owner identifiziert sind, muss der Administrator zunächst die Berechtigungen überprüfen und Benutzern, die auf die Daten zugreifen können, es aber nicht sollten, ihre Berechtigungen entziehen. Mit einer einmaligen Überprüfung ist dies leider nicht getan. So ist es zum Beispiel üblich, dass ein Benutzer nur im Rahmen bestimmter Projektaufgaben auf gewisse Ordner zugreifen kann. Sobald die Aufgabe abgeschlossen ist, sollte dem Benutzer die Zugriffsberechtigung wieder entzogen werden.
Hilfreich ist es, die Berechtigungsprüfung und das Berechtigungs-Management zu automatisieren, vorzugsweise in dem der Administrator zusätzlich die rechtmäßigen Data Owner mit einbezieht.
Dritter Schritt: Überwachen und benachrichtigen
Wenn die Dateifreigaben schließlich in einem geordneten Rahmen ablaufen, ist es wichtig, sie auch weiterhin zu kontrollieren. Dies funktioniert nur, wenn der Administrator sämtliche Dateiaktivitäten kontinuierlich überwacht und Veränderungen frühzeitig entdeckt. Dies ist ein Punkt, der nicht selten zu den Auditierungsanforderungen zählt. Damit IT-Abteilung und Data Owner möglichst zeitnah von Berechtigungsänderungen erfahren, aktiviert der Administrator idealerweise automatische Warnungen, die die Betroffenen in Echtzeit informieren.
Ganz entscheidend ist es, auch die Zugriffsaktivitäten zu überwachen. Dadurch lassen sich viele verbreitete IT-Probleme lösen, etwa die häufige Frage: "Wer hat meine Dateien gelöscht?" Zudem kann der Administrator nicht in Anspruch genommene Berechtigungen identifizieren und zurücknehmen, die Kontrolle verstärken und so potenziell Datenmissbrauch oder Betrug erkennen. Mithilfe automatisierter Prozesse kann er zudem die Zugriffsaktivitäten analysieren und Benutzer identifizieren, die über zu umfassende Zugriffsrechte verfügen oder gar Zugriffsrechte missbrauchen.
Vierter Schritt: Speichern
Wachsende Daten-Repositories machen das Problem noch komplexer, von den Kosten für die Datenspeicherung ganz abgesehen. Wertet der Verantwortliche jedoch Aktivitäten, Inhalte und Metadaten auf Dateiebene aus, wächst die Zahl der relevante Daten, die zu archivieren oder zu löschen sind, auch nicht über Gebühr an.
Lesen Sie mehr zum Thema
