Giấy phép Dùng để
No access
(không đƣợc truy cập) Đặt ở chế độ này, ngƣời sử dụng có thể nhìn thấy thƣ mục trong mạng nhƣng không truy cập vào đƣợc cũng nhƣ không nhìn thấy và không khai thác đƣợc các tệp hay thƣ mục con của nó.
Read
(Đọc) Có thể xem tên tệp và thƣ mục con, xem dữ liệu và thuộc tính của tệp, chạy các tệp chƣơng trình và truy cập tới các thƣ mục con chứa trong thƣ mục đó.
Change (Thay đổi)
Có thể tạo các thƣ mục con, thêm tệp, thay đổi dữ liệu cũng nhƣ thêm dữ liệu vào tệp, thay đổi thuộc tính tệp, xoá các tệp.
và th− mục con Full control
(Toàn quyền)
Có thể làm mọi việc của chế độ Change, thay đổi permission của tệp, lấy quyền sở hữu đối với các tệp, thƣ mục ở NTFS.
Nhƣ ta thấy, bảng trên liệt kê bốn loại giấy phép, mức độ giấy phép tăng dần theo thứ tự liệt kê, từ giấy phép gán quyền, hạn chế nhất tới giấy phép rộng rãi nhất.
3.3.2.3. Phạm vi tác dụng của permission trên các thƣ mục đƣợc chia sẻ.
Có thể đặt permission trên bất kỳ một tài nguyên đƣợc chia sẻ nào mà không phụ thuộc vào hệ thống tệp trên phân hoạch đó. Tuy nhiên những giấy phép này chỉ có tác dụng khi ta truy cập thông qua mạng. Permission chia sẻ đối với một thƣ mục không có tác dụng khi một ngƣời nào đó đăng nhập một cách cục bộ thành công vào máy có chứa thƣ mục đó. Khi đó anh ta có toàn quyền trong việc truy cập các thƣ mục và các tệp. Hiển nhiên, việc khai thác tài nguyên tệp của anh ta có thành công hay không cũng còn phụ thuộc vào các tính năng bảo mật của chƣơng trình ứng dụng tạo ra tệp đó (nhƣ tệp văn bản Word đƣợc cài đặt mật khẩu chẳng hạn).
Nếu ngƣời đó không có quyền đăng nhập cục bộ (Log on locally) trên máy chủ Windows NT Server thì điều này không gây ra phiền toái gì. Mặt khác, đối với các máy chạy Windows NT Workstation, ngƣời sử dụng đƣợc gán quyền đó một cách tự động thì vấn đề trên phức tạp hơn; họ có thể bỏ qua permission chia sẻ để truy cập tới các tệp trên máy cục bộ.
3.3.2.4. Hiệu lực kết hợp của permission
Có thể gán permission chia sẻ thƣ mục một cách trực tiếp cho ngƣời sử dụng cũng nhƣ gán permission đó cho một nhóm mà ngƣời sử dụng đó là thành viên. Nếu một ngƣời sử dụng là thành viên của nhiều nhóm thì cần định rõ giấy phép thực tế áp dụng cho ngƣời sử dụng này dựa theo hai nguyên tắc sau: thứ nhất, mức giấy phép thực tế của ngƣời đó là mức giấy phép ít bị hạn chế nhất trong số permission đó; thứ hai, nếu trong số tất cả các mức giấy phép có giấy phép No Access thì mức giấy phép thực tế của ngƣời đó là No Access.
3.3.2.5. Hoạch định các thƣ mục đƣợc chia sẻ
Trƣớc khi chia sẻ chúng ta phải trả lời đƣợc câu hỏi: chia sẻ tài nguyên gì và cho ai. Để một mạng máy tính hoạt động trơn tru, ngƣời sử dụng hợp thức phải dễ dàng truy cập đƣợc các chƣơng trình mạng, các dữ liệu dùng chung cũng nhƣ các thƣ mục chứa các tệp tài nguyên khác. Sau đây là một vài gợi ý:
Hãy xác định xem ngƣời sử dụng sẽ truy cập vào những thƣ mục nào của
mình. Hãy tổ chức lại các thƣ mục có cùng một mức bảo mật vào trong một thƣ mục. Chẳng hạn, nên đƣa những thƣ mục chứa các tệp chỉ cho phép đọc vào trong một thƣ mục.
Sử dụng các tên chia sẻ trực quan để ngƣời sử dụng có thể dễ dàng đoán nhận và truy cập tới đó.
Sử dụng các tên chia sẻ và tên thƣ mục đọc đƣợc bằng các hệ điều hành của tất cả các máy trạm.
3.3.2.6. Hoạch định để gán permission trên các thƣ mục đƣợc chia sẻ
Cũng nhƣ việc chia sẻ, việc gán permission trên các thƣ mục đƣợc chia sẻ đến từng đối tƣợng, từng nhóm sử dụng cũng là một công việc đòi hỏi sự hoạch định và tính toán kỹ lƣỡng. Sau đây là các gợi ý:
Xác định nhóm nào có nhu cầu truy cập tới các tài nguyên gì và mức độ truy cập cần thiết đối với họ.
Tạo ra các nhóm cục bộ (local group) đối với các tài nguyên đƣợc chia sẻ.
Nếu các thƣ mục đƣợc chia sẻ nằm trên các máy chủ thành viên hay máy chạy Windows NT Workstation thì nhóm cục bộ đối với các tài nguyên đƣợc chia sẻ sẽ đƣợc tạo trên chính các máy đó. Nếu tài nguyên nằm trên các máy điều khiển vùng thì nhóm cục bộ có thể tạo ra trên bất kỳ máy nào có chạy User Manager for Domains.
Chỉ gán permission cho những nhóm thực sự có nhu cầu truy cập tới tài nguyên.
Gán giấy phép hạn chế nhất cho nhóm cục bộ trên các tài nguyên, song phải
đảm bảo cho phép đến mức để họ có thể thực hiện đƣợc công việc của mình. Chẳng hạn, nếu ngƣời sử dụng chỉ có nhu cầu đọc các tệp trên một thƣ mục thì chỉ nên gán giấy phép Read cho họ.
Để đảm bảo tính bảo mật cao, hãy xoá bỏ giấy phép Full control của nhóm
Everyone. Nếu muốn mọi ngƣời sử dụng đều có thể truy cập đƣợc tài nguyên, tốt nhất nên sử dụng nhóm Users. Trong một vùng nhóm Users chỉ bao gồm các tài khoản ngƣời sử dụng vùng mà chúng ta tạo ra. Trong một nhóm công tác, Users chứa mọi ngƣời sử dụng cục bộ.
Ngoài ra, tuỳ theo tính chất của từng loại tài nguyên đƣợc chia sẻ (chƣơng trình ứng dụng hay dữ liệu), chúng ta cần có chiến lƣợc gán permission một cách phù hợp hơn.
Đối với các mạng lớn, có thể có một hay nhiều máy chủ giữ vai trò lƣu giữ các chƣơng trình. Khi đó chúng ta cần:
Tạo một thƣ mục đƣợc chia sẻ dùng để lƣu các chƣơng trình
Gán giấy phép Full control cho nhóm Administrators để họ có thể truy cập và quản trị các chƣơng trình.
Xoá bỏ giấy phép Full control của nhóm Everyone và gán giấy phép Read cho nhóm Users để đảm bảo tính bảo mật cao.
Gán giấy phép Change cho nhóm những ngƣời chịu trách nhiệm nâng cấp hay giải quyết các vấn đề về phần mềm.
Với các thƣ mục chứa dữ liệu công cộng cũng nhƣ các dữ liệu nhạy cảm chúng ta cũng cần phải có những hoạch định tƣơng tự. Thiết lập chia sẻ tới mức tệp chỉ có trong NTFS mà chúng ta sẽ xem ở phần sau.
3.4. NTFS
Trong phần này, em chỉ đề cập đến các tính năng của hệ thống tệp NTFS, các ƣu điểm và nhƣợc điểm của nó.
3.4.1. Bảo vệ tài nguyên với NTFS
Hệ thống tập tin NTFS cung cấp chế độ bảo mật cho tập tin và thƣ mục. Ví dụ: nếu nhƣ khi ổ đĩa cứng cài đặt hệ thống Windows 7 sử dụng định dạng NTFS, thì các tập tin và thƣ mục trên máy đƣợc hỗ trợ chế độ bảo mật an toàn hơn so với sử dụng các phiên bản của FAT. Cơ chế bảo mật đƣợc quản lý bằng việc gán các quyền NTFS cho tập tin và thƣ mục. Bảo mật đƣợc thực hiện cả ở cấp độ sử dụng cục bộ và cả trong môi trƣờng mạng.
Hình 3.4 Phân quyền sử dụng tài nguyên cho các đối tƣợng 3.4.2. Dùng chế độ bảo mật của NTFS 3.4.2. Dùng chế độ bảo mật của NTFS
Trên các phân hoạch NTFS, chúng ta có thể đặt permission NTFS trên các thƣ mục và tệp. Permission NTFS bảo mật các tài nguyên trên máy cục bộ và khi ngƣời sử dụng nối tới các tài nguyên đó trên mạng.
3.4.2.1. Một số khái niệm
Permission NTFS là các cấp độ truy cập chỉ khả dụng trên một Volume đã đƣợc định dạng qua hệ thống tệp của hệ điều hành nhƣ Windows NT/2000, Windows XP, Windows 7... Permission cung cấp bảo mật ở mức độ cao hơn vì chúng có thể gán tới các thƣ mục và tới các tệp cụ thể. Permission NTFS cho thƣ mục và tệp đƣợc áp dụng cả với ngƣời sử dụng làm việc tại máy nơi có thƣ mục hoặc tệp lƣu trữ và cả những ngƣời truy cập thƣ mục hoặc tệp đó từ mạng thông qua việc nối tới một thƣ mục đƣợc chia sẻ.
Kiểm soát (Audit): Ghi vào nhật ký những vấn đề liên quan đến bảo mật có
thể xảy ra và sau này dùng chức năng Event Viewer (xem sự kiện) để xem lại.
Lập nhật ký các sự kiện (Event log): Khi một tệp hay một thƣ mục đƣợc sửa
đổi, dịch vụ Tệp nhật ký (Log File Service) theo dõi mọi thông tin về các thao tác redo hay undo cho việc sửa đổi. Những thông tin redo cho phép NTFS tạo lại các sửa đổi trong trƣờng hợp hệ thống có sự cố. Thông tin về undo cho phép NTFS bỏ những sửa đổi nếu nhƣ nó không thể thực hiện đƣợc hoàn toàn chính xác. NTFS luôn cố gắng redo một giao dịch và chỉ undo khi không thể redo.
Quyền sở hữu (Ownership): Ngƣời tạo ra tệp hay thƣ mục hay nhà quản trị
có toàn quyền sử dụng hay cho phép ngƣời khác sử dụng tài nguyên này. Chỉ có họ mới có thể thay đổi cấp độ truy cập áp dụng cho một đối tƣợng. Họ không thể chuyển giao quyền sở hữu cho ngƣời sử dụng khác mà chỉ có thể cấp quyền “giành quyền sở hữu”. Ngƣời sử dụng phải dành quyền sở hữu thƣ mục/tệp sau khi đã đƣợc cấp quyền làm thế.
3.4.2.2. Sử dụng permission NTFS
Nhận thấy có thể sử dụng permission NTFS để bảo vệ các nguồn tài nguyên, tránh những ngƣời sử dụng có thể truy cập máy theo những con đƣờng sau:
Một cách cục bộ, ngồi làm việc tại máy nơi lƣu trữ các tài nguyên
Từ xa, bằng cách nối tới một thƣ mục đƣợc chia sẻ
Chúng ta có thể đặt permission tệp tới các mức chi tiết. Ví dụ, chúng ta có thể đặt permission khác nhau cho mỗi tệp trong một thƣ mục. Có thể cho phép một ngƣời sử dụng đọc nội dung của một tệp và thay đổi nó, cho phép ngƣời khác chỉ đƣợc đọc tệp và ngăn cản mọi ngƣời khác truy cập vào tệp. Trên một phân hoạch NTFS, ngƣời tạo ra một thƣ mục hoặc tệp là chủ nhân của thƣ mục hoặc tệp đó. Nếu ngƣời đó là thành viên quản trị thì nhóm quản trị trở thành chủ nhân của thƣ mục hoặc tệp đó.
Chủ nhân luôn có thể gán và thay đổi permission trên các thƣ mục hoặc tệp của họ. Permission NTFS đƣợc gán cho các tài khoản ngƣời sử dụng và các tài khoản nhóm theo cùng một cách mà permission chia sẻ đã gán. Một ngƣời sử dụng có thể đƣợc gán permission NTFS một cách trực tiếp hoặc nhƣ là thành viên của một hay nhiều nhóm Permission thƣ mục NTFS đƣợc áp dụng nhƣ sau:
Giống nhƣ các phép chia sẻ, permission NTFS cung cấp permission hiệu quả
cho ngƣời sử dụng bao gồm các tổ hợp permission nhóm và permission ngƣời sử dụng, trừ trƣờng hợp ngoại lệ No Access. Giấy phép No Access đứng trên tất cả permission khác.
Không giống nhƣ permission chia sẻ, permission NTFS bảo vệ các tài nguyên cục bộ và có thể đƣợc gán cho các thƣ mục và các tệp khác trong cùng cây phân cấp.
Permission tệp NTFS có quyền cao hơn permission đƣợc gán cho thƣ mục mà tệp đó thuộc vào. Ví dụ, nếu một ngƣời sử dụng có giấy phép Read tới một thƣ mục và giấy phép Write tới một tệp trong thƣ mục đó, thì ngƣời đó sẽ có thể ghi vào tệp nhƣng không thể tạo ra một tệp mới trong thƣ mục đó.
3.4.3. Quyền truy cập NTFS cá thể (Individual NTFS Permission)
Windows NT trở lên cung cấp 6 cấp độ truy cập NTFS cá thể. Mỗi cấp độ định rõ khả năng truy cập thƣ mục hoặc tệp tin mà ngƣời dùng hoặc group có thể có.
Dƣới đây, em sẽ chỉ rõ từng cấp độ và chi tiết quyền truy của cấp độ đó với một thƣ mục (Folder) hay một tệp (File). Em sẽ liệt kê theo thứ tự từ 1 đến 6.
Cấp độ truy cập NTFS cá thể: 1) Read (R) 2) Execute (X) 3) Write (W) 4) Delete (D) 5) Change Permission (P)
6) Take Ownership (O)
3.4.3.1. Các mức giấy phép truy cập tệp NTFS
Permission truy cập thể hiện sự điều khiển đối với ngƣời sử dụng tài nguyên tệp cũng nhƣ mức độ sử dụng. Đối với tệp, các mức độ giấy phép truy cập tƣơng ứng với các quyền sau:
Bảng 3.3 Các mức giấy phép truy cập tệp NTFS Giấy phép R X W D P O