Réparer les Permissions Windows

par Brian Vecci

Que vous soyez directeur des systèmes d’information, impliqué dans la sécurité du système ou en charge des autorisations, il vous est surement déjà arrivé de rompre les autorisations Windows. « Rompre » peut bien sure avoir diverses significations car il existe une variété de moyens pour briser une autorisation NTFS.

Dans l’un des articles précédents nous remarquions que même dans le cas où les autorisations sont mécaniquement correctes – c’est-à-dire efficaces du point de vue de l’authentification – elles peuvent malgré tout être rompues  lorsque leur attribution n’est pas appropriée. Mais ce type d’erreur n’est pas le sujet de cet article. Parlons plutôt des autorisations mécaniquement rompues à cause d’un héritage de permissions NTFS vicié.

De manière générale, un dossier Windows peut hériter d’autorisations de trois façons différentes. Il peut tout simplement hériter de l’ensemble des autorisations de son dossier parent et, dans ce cas, les ACLs sont exactement les mêmes. Le dossier peut également hériter de toutes les autorisations de son dossier parent tout en ayant des autorisations supplémentaires. Varonis parle de dossiers « uniques ». Dans ces deux cas, les modifications apportées au dossier parent sont répercutées sur les sous-dossiers¹. Enfin le sous-dossier peut hériter d’autorisations rompues, ou inactives – Microsoft (et Varonis) parlent de dossiers « protégés ».  Les dossiers protégés n’héritent pas des autorisations de leurs dossiers parents, et les modifications apportées aux autorisations du dossier parent n’affecteront pas les ACLs. Les outils d’administration présents sous Windows fournissent peut de visibilité sur les  dossiers dont l’héritage des autorisations est inactif ou sur les dossiers avec des autorisations uniques. C’est l’une des principales raisons pour lesquelles les entreprises ne peuvent pas déterminer quelles données sont accessibles à un trop grand nombre d’utilisateurs.

Ce qui complique les choses est que, parfois, l’héritage des permissions peut être rompu. Soit le sous-dossier n’a pas hérité des autorisations auxquelles il aurait du hériter, soit le sous-dossier a hérité de permissions n’étant pas appliquées au dossier parent. Quoi qu’il en soit le chaos se produit – le service informatique pensent que certains dossiers ont des accès restreints alors que ce n’est pas le cas, ou croit que certains dossiers sont accessibles alors qu’ils ne le sont pas. Lorsque le chaos se produit, trouver et corriger l’erreur nécessite l’analyse de tous les ACLs dans la branche concernée.

Les ACLs rompues ont des causes diverses. Certains programmes de copies automatiques sont connus pour produire ces résultats inattendus. Les scripts locaux peuvent également engendrer des difficultés similaires. Une autre incohérence apparait lorsqu’un utilisateur déplace un fichier ou un dossier vers un autre dossier du même volume avec des autorisations différentes. Quand un fichier ou un dossier est déplacé au sein du même volume, il est seulement renommé dans la table d’attribution des fichiers sans que les autorisations ne soient modifiées. Quand un fichier ou un dossier est déplacé d’un volume à l’autre, il hérite des autorisations de son nouveau dossier parent.

Il existe heureusement une technologie pour trouver et résoudre de tels problèmes. Varonis DatAdvantage recueille l’ensemble des autorisations à partir de l’Active Directory et peut facilement produire un rapport repérant les ACLs rompues ou les ensembles d’autorisations incohérents. DatAdvantage offre également la possibilité de valider les modifications sur le serveur (et même programmer ou annuler ces modifications), afin que les administrateurs puissent résoudre ces problèmes via l’interface. Cela permet de réparer les permissions mécaniquement brisées, cependant il faut parler des autorisations qui fonctionnement correctement mais qui donnent l’accès à trop d’utilisateurs. Restez à l’écoute.

[1] (à moins que la configuration empêche la propagation à l’ensemble des sous-dossiers)

The post Réparer les Permissions Windows appeared first on Varonis Français.