Los servidores de archivos llegaron para quedarse. Cómo gestionarlos de forma segura

Por qué los servidores de archivos siguen siendo relevantes

A pesar del auge de la nube, muchas organizaciones mantienen servidores de archivos locales junto con sus suscripciones SaaS. Estas configuraciones híbridas permiten preservar grandes volúmenes de datos manteniendo un control total sobre costos, riesgo, retención, copias de seguridad y accesos. Si bien la conveniencia de la nube sigue siendo atractiva, preocupaciones como el aumento de costos de suscripción, la propiedad de los datos y las demandas regulatorias han llevado a algunos a pausar o replantear su estrategia en la nube. Por lo tanto, pese a las predicciones de un futuro exclusivamente en la nube, el servidor de archivos tradicional se mantendrá como pilar de TI durante años. Para administrarlos de manera segura y eficiente, la gobernanza de accesos es fundamental.

No asignar permisos directamente a los usuarios

Para otorgar acceso a un directorio, siempre se debe utilizar un grupo de seguridad dedicado y de un solo propósito, con un esquema de nombres consistente, como fs_finanzas_lectura. Aunque la mayoría de los administradores conocen esta regla, ponerla en práctica puede ser complicado cuando un directivo exige acceso urgente. El problema de asignar permisos directamente a los usuarios es que no hay forma de rastrear estos permisos excepcionales. Al inspeccionar un objeto de usuario, se puede ver cada grupo al que pertenece. Si los grupos se nombran según el permiso que otorgan, esto actúa como una lista de todo lo que el usuario puede acceder. Sin embargo, cuando un usuario tiene privilegios directos en una carpeta, el único lugar donde aparece ese permiso es en las propiedades de la carpeta misma. Incluso en un entorno pequeño con unos pocos cientos de directorios, estos permisos excepcionales resultan prácticamente invisibles.

Anidar grupos de permisos usando el modelo AGDLP

Como se mencionó, los grupos de seguridad dedicados son la mejor manera de otorgar acceso a los directorios del servidor de archivos. Sin embargo, eso no significa que debas agregar usuarios directamente a estos grupos. La administración se vuelve más eficiente al añadir otra capa de abstracción. Primero, crea grupos globales que correspondan a los diferentes roles de tu organización: ventas, soporte al cliente, recursos humanos, etc. Luego, haz que estos grupos globales sean miembros de los grupos de permisos individuales para cada recurso al que necesiten acceso. Al anidar grupos de esta manera, puedes otorgar a nuevos usuarios todos los accesos necesarios simplemente agregándolos al grupo de rol global que coincide con su puesto. Este enfoque se conoce como modelo AGDLP, que es la estructura anidada de cuentas, grupos globales, grupos locales de dominio y finalmente permisos. Seguir AGDLP o modelos similares permite implementar una forma de control de acceso basado en roles para servidores de archivos y recursos de Active Directory, agilizando significativamente la gobernanza de accesos.

Establecer permisos de recurso compartido de forma permisiva y usar NTFS para controlar el acceso

Los permisos de recurso compartido controlan el acceso a recursos de red, como los archivos compartidos. Sin embargo, dado que los permisos NTFS se aplican tanto al acceso de red como al local, y ofrecen un control más granular sobre los niveles de permiso, la mayoría de los administradores prefieren usar NTFS para gobernar el acceso. Cuando los permisos NTFS y de recurso compartido interactúan, prevalece el más restrictivo. Por lo tanto, es más fácil establecer permisos de recurso compartido en un nivel alto, como Cambio para usuarios y Control total para administradores, y confiar en los permisos NTFS para restringir el acceso a partir de ahí.

Evitar romper la herencia de permisos

Para optimizar la gobernanza del servidor de archivos, concéntrate en gestionar los niveles superiores del árbol de directorios y deja que los permisos se propaguen hacia abajo. Esto funciona mejor con una estructura de carpetas limpia que permita aprovechar al máximo la herencia de permisos. Idealmente, nunca deberías establecer permisos explícitos a más de dos o tres niveles de profundidad en el árbol de directorios. Por supuesto, los administradores rara vez trabajan en condiciones ideales. Años de desorden y demandas de la dirección pueden obligar a encontrar soluciones alternativas para dar acceso a una carpeta de proyecto específica enterrada en un departamento. Sin embargo, incluso en esos casos, puede ser más fácil crear nuevas carpetas o moverlas hacia arriba en el árbol en lugar de sobrescribir los permisos heredados y lidiar con los efectos colaterales en subcarpetas y archivos.

Adherirse al principio de mínimo privilegio

Los usuarios solo deben tener el acceso estrictamente necesario para su trabajo y, además, deben tener el nivel de permiso más restrictivo que aún les permita realizar sus tareas. El principio de mínimo privilegio es un concepto fundamental de la seguridad de TI que debería informar todas las decisiones sobre accesos en servidores de archivos y más allá. Es importante destacar que este principio no es solo una verificación única al momento de otorgar acceso. Los roles y responsabilidades cambian con el tiempo, y también puede cambiar si alguien sigue necesitando acceso a un recurso. Un permiso puede haber encajado con sus funciones cuando se asignó, pero ¿sigue siendo relevante después de un mes, un trimestre o un año? La única manera de garantizar que los privilegios de los usuarios se alineen con sus responsabilidades diarias es revisarlos periódicamente y revocar aquellos que ya no sirven para nada. Sin embargo, este tipo de auditorías de privilegios son difíciles de implementar sin una plataforma centralizada de gobernanza que rastree los permisos de los usuarios y gestione las políticas de revisión de accesos. La supervisión manual simplemente no es adecuada para hacer cumplir el acceso de mínimo privilegio.

Gobernanza automatizada de mejores prácticas con tenfold

Desde grupos de permisos anidados hasta una estructura de carpetas limpia, el enfoque correcto para la administración del servidor de archivos reducirá tu carga de trabajo y pondrá orden en el caos. Sin embargo, incluso si sigues todas las mejores prácticas, gestionar servidores de archivos sigue siendo una tarea muy exigente y que consume tiempo, especialmente si es solo una parte de toda tu infraestructura de TI. Solo hay una manera de ofrecer una experiencia verdaderamente fluida en el servidor de archivos: una solución de gobernanza dedicada como tenfold. Como plataforma totalmente automatizada, tenfold no solo puede encargarse de las tareas de aprovisionamiento, flujos de aprobación y gestión de grupos, sino que también proporciona una visibilidad profunda en cada nivel de tu árbol de directorios, mostrándote exactamente quién tiene acceso y por qué. No solo para tu servidor de archivos, sino también para todos los privilegios locales y en la nube. Con una gobernanza integral de identidades que abarca desde el acceso basado en roles hasta la gestión del ciclo de vida, un conjunto de herramientas de gobernanza de acceso a datos en profundidad y una función de auditoría de eventos en constante crecimiento, tenfold combina tres soluciones en una sola plataforma conveniente. Realiza un seguimiento y gestiona el acceso en servidores de archivos locales, aplicaciones en la nube y más allá. Reserva una demostración personal para obtener más información sobre tenfold y discutir tu caso de uso con uno de nuestros especialistas. Patrocinado y escrito por Tenfold Software.