Zum Hauptinhalt springen
Unter Dateisystem – dem einzigen Menüpunkt der Gruppenüberschrift Berechtigungsanalyse – liegen die Ergebnisse des Scan-Moduls NTFS Security: wer auf welche Ordner und Freigaben zugreifen darf, woher dieses Recht kommt und wo die Vererbung unterbrochen ist. Kein Feld und keine Schaltfläche dieses Bereichs setzt oder entfernt eine Berechtigung – zu sehen ist ausschließlich der Stand des letzten Scans, den die Spalte Letzter Scan der Liste ausweist. Eine Abweichung, die dabei auffällt, korrigieren Sie am betroffenen System; erst ein erneuter Scan holt den neuen Stand nach Docusnap365.

​
Zeilen der Liste

Jede Zeile der Liste unter Dateisystem ist eine Auswertung mit Name, Analysepaket, Typ und Domäne. Die einzelnen Freigaben stehen erst auf der Detailseite der Auswertung. Für Suche, Filter und Sortierung gilt dasselbe wie für jede andere Liste, siehe Listen und Filter. Auswertungen löschen Sie in der Liste über markierte Zeilen oder einzeln im Kopf einer geöffneten Auswertung. Beides setzt das Recht zum Löschen im Bereich Analyse voraus; ohne dieses Recht bietet die Liste keine Auswahl und der Kopf keine Schaltfläche Löschen. In der Liste löscht Löschen höchstens 1000 einzeln markierte Auswertungen; eine Auswahl aller Zeilen auf einmal sperrt die Schaltfläche.
Im Kopf einer geöffneten Auswertung steht derselbe Zeitpunkt noch einmal, in der Unterzeile – allerdings nur, nachdem der Tab Übersicht mindestens einmal offen war. War er das noch nicht, bleibt die Unterzeile leer; der Zeitpunkt lässt sich dann in der Liste nachlesen.

​
Tabs der Auswertung

Übersicht und Ordner-Analyse fassen den vorhandenen Bestand zusammen, Prinzipal-Analyse betrachtet ihn von der umgekehrten Seite, und Berechtigungsherkunft klärt einen einzelnen, konkreten Fall.

​
Effektives Recht

Damit ein Recht tatsächlich wirkt, müssen ihm zwei Seiten zustimmen: das Dateisystem selbst (NTFS) und die Freigabe, über die darauf zugegriffen wird (SMB). Die Formel dazu steht unter der Ergebnistabelle im Tab Berechtigungsherkunft:
Steht im Dateisystem Vollzugriff, über die Freigabe aber nur Lesen, bleibt am Ende nur Lesen übrig – der häufigste Grund, warum jemand „trotz Berechtigung“ nicht schreiben kann. Die Ordner-Analyse zeigt NTFS- und SMB-Einträge zwar nebeneinander in einer Tabelle, verrechnet sie aber nicht; das übernimmt erst die Berechtigungsherkunft.
Eine Verweigerung auf einer der beiden Seiten genügt, um ein Recht zu entziehen. In den Tabellenzellen stehen dafür drei Zustände: ein Häkchen für erlaubt, ein Kreuz für verweigert, ein grauer Punkt, wenn nichts gesetzt ist.
In der Berechtigungsherkunft kommt ein viertes Zeichen hinzu: ein Fragezeichen, das beim Zeigen Spezielle Berechtigungen einblendet. Es steht in jeder nicht gesetzten Zelle einer Zeile, die Rechte außerhalb der fünf Gruppen trägt, etwa Ordner erstellen / Daten anhängen allein. Eine Zeile mit Fragezeichen trägt Rechte, auch wenn keine Spalte gesetzt ist. Das gilt für die Ergebnistabelle, die Einträge der Stationen und die Zeile Kumulativ.

​
Rechtespalten lesen

Fünf Spalten mit abgekürztem Kopf tragen beide Berechtigungstabellen, die Ordner-Analyse führt eine sechste zusätzlich. Wer den Mauszeiger auf einen Spaltenkopf hält, sieht die ausgeschriebene Bezeichnung: In diesen fünf Gruppen fasst Windows die eigentlichen Einzelrechte zusammen. Lässt sich ein Eintrag keiner davon vollständig zuordnen, markiert das die Spalte Spez.; welche Einzelrechte im Detail zutreffen, zeigt erst das Detailfenster der Zeile.
Nur in einem einzigen Fall weichen Lesen und Aufl. voneinander ab: Trägt ein Eintrag ausschließlich das Recht Ordner durchsuchen / Datei ausführen, erscheint in Aufl. ein Häkchen, in Lesen dagegen nichts – dieses eine Recht gehört zur Gruppe Auflisten. Sonst stimmen beide Spalten immer überein.
Eine Spalte wird nur markiert, wenn sämtliche Einzelrechte ihrer Gruppe vorliegen – bei einer Erlaubnis ebenso wie bei einer Verweigerung; das entspricht dem Sicherheitsdialog von Windows. Eine Verweigerung einzelner Rechte, die keine Gruppe vollständig abdeckt, markiert keine der fünf Spalten. Welche Einzelrechte verweigert sind, zeigt das Detailfenster der Zeile: Dort trägt jedes Einzelrecht seinen eigenen Zustand – erlaubt, verweigert oder nicht gesetzt.
Die Markierung von Spez. bezieht sich auf den gesamten Ordner, nicht auf die einzelne Zeile: Trägt auch nur ein Eintrag darin spezielle Berechtigungen, erscheint die Spalte in jeder Zeile des Ordners markiert – auch in jenen ohne solche Rechte. Um welche Zeile es konkret geht, zeigt erst das Detailfenster.
Trägt eine Ordnerzeile der Prinzipal-Analyse Rechte, die keine der fünf Gruppen vollständig abdeckt, zeigen ihre leeren Rechtespalten ein Fragezeichen; Spalten, deren Gruppe vollständig vorliegt, behalten ihr Häkchen. Die einzelnen Rechte dazu zeigt das Detailfenster der entsprechenden Zeile in der Ordner-Analyse.

​
Bestandsaufnahme und Begründung

Während Ordner-Analyse und Prinzipal-Analyse jeweils den Bestand von ihrer Seite aus aufnehmen, klärt die Berechtigungsherkunft einen einzelnen Fall – dafür braucht sie zwingend zwei Angaben: einen Prinzipal und einen Ordner.
Ohne eine der beiden Angaben bleibt die Fläche leer, mit dem Hinweis „Für diesen Prinzipal sind keine Ordnerdaten verfügbar.“ – auch wenn der Prinzipal bereits gewählt ist und nur der Ordner noch fehlt.
Der Pfeil am Zeilenende in der Ordner-Analyse wie in der Prinzipal-Analyse öffnet die Berechtigungsherkunft mit Prinzipal und Ordner der Zeile bereits gesetzt.
Ein einzelner Benutzer oder eine globale Gruppe mit direktem Zugriff auf einen Ordner gilt als risikoreicher als eine domänenlokale Gruppe: Im Kopf der Prinzipal-Analyse fällt ein solcher Name eigens auf, ebenso bei Everyone und bei verwaisten Einträgen.

​
Aufbau der Berechtigungsherkunft

NTFS-Herkunft zeichnet unterhalb der Ergebnistabelle einen Weg vom gewählten Ordner hinab bis zur Freigabewurzel: Station für Station, je Ebene mit ihren eigenen Berechtigungseinträgen und einer Zeile Kumulativ für die dort geltenden NTFS-Rechte. Bleiben mehrere Ebenen hintereinander unverändert, fasst diese Darstellung sie zu einer einzigen Zeile zusammen, damit auch ein tiefer Pfad übersichtlich bleibt.
Kumulativ zeigt, was an der jeweiligen Station im Dateisystem gilt, einschließlich der vom Elternordner geerbten Rechte – auch an einer Station, die selbst nur einen Verweigern-Eintrag trägt. Das ist noch nicht das effektive Recht. Freigabeeinträge erscheinen je Station in einem eigenen Block Freigabe (SMB) und fließen dort nicht ein, weil sie den Zugriff nur zusätzlich einschränken. Das tatsächlich verrechnete Ergebnis nennt allein die Zeile Effektiv in der Tabelle darüber.
Führt ein Recht über eine Gruppenmitgliedschaft statt direkt zum Prinzipal, lässt sich die betreffende Station aufklappen: Mitgliedschaft zeigt dann den Weg vom Prinzipal zur berechtigten Gruppe. Die Station nennt, wo das Recht gesetzt ist; Mitgliedschaft nennt die Gruppen, über die der Prinzipal es erhält.
Denselben Zusammenhang stellt die Schaltfläche Berechtigungsherkunft über der Ergebnistabelle als Graph dar; die Gruppenstruktur allein um einen Prinzipal herum öffnet stattdessen Benutzer- & Gruppenstruktur im Kopf der Prinzipal-Analyse. Fehlt Prinzipal oder Ordner, lässt sich Berechtigungsherkunft nicht anklicken.

​
Befunde und ihre Einstufung

Vierzehn Befundtypen verteilen sich auf vier Stufen – Kritisch, Hoch, Warnung, Hinweis. Kommen mehrere an derselben Freigabe, demselben Ordner oder demselben Prinzipal zusammen, zählt allein die schwerste; ohne jeden Befund bleibt eine Freigabe ganz ohne Kennzeichnung.
Kritisch eingestuft sind ausnahmslos die beiden Everyone-Befunde im Dateisystem, unabhängig von der Richtung. Bewertet wird dabei die Verwendung von Everyone an sich, nicht die Wirkung des jeweiligen Eintrags: Microsoft rät grundsätzlich davon ab, Everyone in Dateisystemrechten einzusetzen – auch ein Verweigern zeigt dieselbe unsaubere Struktur wie ein Zulassen.
Auf Ebene der Freigabe dreht sich diese Bewertung um: Everyone mit Vollzugriff auf Freigabe zählt nur als Warnung, weil die Freigabeebene selbst nichts einschränkt. Eingeschränkt wird erst im Dateisystem eine Ebene darunter, wo derselbe Eintrag kritisch ist.
Ein Befundtext ohne Anzahl in Klammern kann mehrfach auftreten; für diesen Eintrag liegt keine Anzahl vor.
Der farbige Punkt hinter einem Ordner im Baum stammt nicht aus den Befunden. Er richtet sich nach drei anderen Eigenschaften des Knotens – fehlende Daten, unterbrochene Vererbung, direkte Rechte –, wobei fehlende Daten immer zuerst zählen. So kann ein Ordner im Baum unauffällig wirken, obwohl seine eigene Befundleiste eine Warnung zeigt; maßgeblich ist die Befundleiste, nicht der Punkt.
Das Abzeichen im Ordnerkopf unterscheidet zwei Fälle: Unterbrochen steht an einem Ordner unterhalb der Freigabe, dessen Vererbung unterbrochen ist; Explizit gesetzt an einem Ordner mit direkten Rechten bei intakter Vererbung. Für eine einzelne Zeile nennt das Detailfenster unter Vererbung den Wert Aktiv oder Unterbrochen. Eine Freigabeberechtigung (SMB) kennt keine NTFS-Vererbung; bei ihr entfällt diese Angabe.

​
Zahlen im Tab Übersicht

Fünf Werte stehen nebeneinander im Tab Übersicht: Freigaben, Ordner, Prinzipale, Befunde, Vererbungsbrüche. Bei drei davon zählt die Zusatzzeile darunter nicht dasselbe wie der Hauptwert: Kommen zum Beispiel zwei kritische Befundtypen mit je zwanzig Vorkommen vor, liest sich die Zeile „2 kritische Befunde“ – nicht vierzig. Ein Klick auf eine der Freigaben darunter springt in die Ordner-Analyse und wählt die betreffende Freigabe dort vor. Darunter fasst Top-Befunde die Befunde der gesamten Auswertung zusammen.
Ein Eintrag aus Top-Befunde führt in die Ordner-Analyse oder Prinzipal-Analyse, wählt darin aber nichts vor. Ordner oder Prinzipal müssen im Zieltab selbst gesucht werden.

​
Eigenheiten der Prinzipal-Analyse

Das Suchfeld der Prinzipalliste filtert die Liste nicht, sondern erweitert sie: Angezeigt werden zunächst nur Prinzipale, die in dieser Auswertung bereits vorkommen. Ein gesuchter und gefundener Prinzipal wird der Liste hinzugefügt und als Hinzugefügt markiert – umgekehrt bedeutet das Fehlen eines Prinzipals in der Liste nicht automatisch, dass er keine Rechte besitzt, sondern nur, dass er nicht von selbst aufgeführt wird.
Fehlt die Überschrift Verwaist, enthält die Auswertung keinen verwaisten Eintrag; eine leere Kategorie wird nicht angezeigt. Die Zahl hinter jedem Recht der Filterleiste zählt auch Ordner in zugeklappten Unterordnern. Bei aktivem Filter zeigt die Ordnertabelle jeden Treffer; Ordner auf dem Weg dorthin, die selbst nicht treffen, stehen gedämpft dazwischen.
Engt die Filterleiste auf ein einzelnes Recht ein, verschwinden Freigaben ohne dieses Recht nicht, sondern bleiben nur gedämpft sichtbar. So bleibt erkennbar, dass die Freigabe existiert, der Prinzipal dort aber genau dieses Recht nicht besitzt.
Trägt eine Freigabe ein auf Freigabeebene verweigertes Recht, steht in ihrer Kopfzeile Verweigert: mit dem Namen des Rechts. Dieses Verweigern überschreibt jedes Zulassen.

​
Zeitüberschreitung bei der Berechnung

Bei sehr tiefen Ordnerstrukturen kann die Berechnung für einen Prinzipal das Zeitlimit überschreiten; statt der Ergebnisse erscheint dann ein Hinweis mit einer Empfehlung. Sie zielt auf den Scanauftrag: Im Auftrag NTFS Security lässt sich eine maximale Ordnertiefe konfigurieren, siehe NTFS Security inventarisieren.
In diesem Fall bleibt die Befundleiste vollständig ausgeblendet – ihr Fehlen ist keine Entwarnung für den betreffenden Prinzipal.

​
Weiterführend

Wie das zugrunde liegende Analysepaket entsteht, steht unter NTFS Security inventarisieren. Die zweite Fachanalyse dieses Bereichs, bekannte Schwachstellen, beschreibt CVE-Analyse.