从域管理员保护 NTFS 卷上的文件

Question

我们是一家拥有 2008R2 域的小公司，在该域上我们有一个带有多个共享卷的文件服务器。我们有许多 IT 员工担任域管理员角色，因为实际上我们都 24x7 随叫随到。但是，最近已成为公司政策的一个问题，即某些文件夹或文件（工资数据、绩效评估、会计信息）应该保密，包括来自 IT 员工的。这还包括备份（磁带和磁盘）上的数据。

到目前为止发生在我们身上的事情：

*EFS - 但我们必须设置一个 PKI，这对于我们公司的规模来说有点过分

*TrueCrypt - 但这会扼杀并发访问和搜索能力

*从 ACL 中删除域管理员 - 但这非常容易（单击）绕过

* 不再使用 Domain Admins 组，并更明确地委派权限 - 但这又有点矫枉过正，出于审计原因，我们希望尽可能减少对共享帐户（例如 MYDOMAIN\Administrator）的需求

我确定这不是一个新问题，并且很好奇其他有这种要求的人是如何处理它的？有没有我们还没有考虑过的选择？

谢谢！

Answer 1

我已经看到它处理两种方式：

1. 如果 IT 人员在未经授权的人员明确授权的情况下访问了相关文件位置，则让他们签署一些誓言，以承担可怕的后果。
2. 数据被移动到 IT 人员无法访问的存储设备中。

当然，两者都有他们的问题。第一种方法是我之前在大型组织中的两个工作选择遵循的方法。理由基本上是：

访问和授权是不同的东西。如果他们未经授权访问这些数据，他们就会遇到大麻烦。此外，这些人已经可以访问未经授权的大量数据，因此这对他们来说不是一个新问题。因此，我们相信他们会保持专业态度。

这就是为什么我们的工作人员倾向于接受背景调查的原因之一。

当 HR 本身的某个人开始工作程序时，这一点就被突出显示，并且 IT 人员被要求设置权限以阻止该用户访问记录该程序的文件位置。尽管此类程序对IT 来说是保密的，但我们还是被特别邀请设置权利排除。

这是一个明显的利益冲突案例

第二个选项通常由部门在不咨询 IT 的情况下采用。10 年前，这种保护数据免受假定的 BOFH 全视之眼的驱动器导致人们将关键数据放在工作站的驱动器上，并在部门内相互共享目录。现在，这可能是一个简单的共享 DropBox 文件夹、Microsoft SkyDrive 或其他类似的东西（嗯，公司数据泄露给未经审查的第三方）。

但是，如果管理层看到了这个问题并与每个人讨论过，那么我参与或接近的每个实例都可以归结为，“我们信任这些人是有原因的，只要确保他们完全了解访问策略继续前进。”

Answer 2

首先，您必须信任您的管理员。如果你不这样做，他们就不应该有这份工作或这些特权。公司信任有权访问这些数据的财务或人力资源人员，那么为什么不信任 IT 人员呢？提醒他们管理员有能力每天破坏生产环境，但选择不这样做。管理层必须清楚地看到这个问题。

接下来，正如@sysadmin1138 所说，提醒管理员访问不等于权限。

也就是说，默认情况下，我们不会授予域管理员访问文件共享的权限。它们被删除，取而代之的是每个共享 NTFS 权限的三个 ACL 组（读取、写入、管理）。默认情况下，没有人在 ACL Admin 组中，并且这些组的成员资格受到监控。

是的，域管理员可以拥有这些文件的所有权，但它会留下痕迹。审计很重要。罗纳德·里根将此称为“信任，但要验证”。人们应该知道你在检查。

最后，开始从域管理员中删除人员。今天的 AD 权限太容易细化了。没有理由不这样做。授予人们对他们管理的服务器或服务的管理员访问权限，而不是所有内容。