Windows Server 2003 - Access-Based Enumeration

En esta oportunidad voy a mencionar la herramienta Access-Based Enumeration (ABE).

Básicamente, ABE permite listar únicamente aquellos archivos y/o carpetas a los cuales los usuarios tienen acceso al browsear el contenido de, por ejemplo, un File Server (el ejemplo más común). Esto permite eliminar la confusión que puede causar en los usuarios al ingresar a un servidor en el cual existen grandes cantidades de archivos y carpetas, entre las cuales muchas no pueden ser accedidas más que por determinados usuarios.

Requisitos: Windows Server 2003 Service Pack 1.

Instalación

Se deberá descargar previamente la herramienta ABE, seleccionando el .msi que corresponda.

Asumiendo que descargamos la herramienta:

1. 1. Ejecutar el archivo ABEUI.msi.
2. 2. Seleccionar Next.




3. 3. Seleccionar I Agree, y luego Next.




4. 4. Modificar la ruta de instalación en caso de ser necesario, y luego seleccionar Next.




5. 5. Seleccionar la opción que más se ajuste a las necesidades, en lo que respecta a la habilitación de la herramienta en todos las carpetas compartidas, o habilitar individualmente en cada carpeta compartida. Luego, seleccionar Next.
1. Nota: En nuestro caso, y por una cuestión práctica, seleccionaremos la 2da opción, lo cual nos permitirá elegir con criterio aquellas carpetas en las cuales deseamos aplicar el uso de la herramienta.
   




6. 6. Seleccionar Next para dar comienzo a la instalación.
7. 7. Una vez finalizada la instalación, seleccionar Close.

Configuración

1. 1. Seleccionar la carpeta compartida y acceder a sus propiedades.
2. 2. Seleccionar el tab Access-Based Enumeration.
3. 3. Seleccionar el Checkbox Enable access-based enumeration on this share folder.
1. Nota: Seleccionar la 2da opción implica, como se describe, habilitar ABE en todas las carpetas compartidas del servidor, lo cual no haremos en este caso.
   

1. 4. Seleccionar OK.
2. 5. Listo, ABE ya se encuentra configurado en la carpeta compartida que seleccionamos.

Información Adicional

Perfecto, tenemos ABE configurado en la/s carpeta/s seleccionada/s, pero, ¿qué pasa si, por ejemplo, el usuario TestUser1, tiene permisos R&E this folder only en USERS\Level1\Level2 (en negrita se indican las carpetas en las cuales tiene asignado dicho permiso)?. Simplemente, el usuario no podrá acceder browseando el destino nivel por nivel dado que al ingresar a USERS, Level1 no estará visible.

¿Y qué pasa si amplificamos esta situación en un árbol mucho más amplio que el citado en el ejemplo, y además suponemos que contamos con, por ejemplo, 200 usuarios que acceden a diferentes recursos del mismo servidor? Para esto tenemos dos soluciones; 1) asignamos manualmente permisos R&E this folder only en cada nivel que requiera cada usuario, lo cual por supuesto es inviable y para nada recomendado (excepto que tengan tiempo y ganas de hacerlo), o podemos hacer uso de un archivo .BAT o .CMD que contenga lo siguiente a modo de ejemplo:

cscript xcacls.vbs [Rutadelrecursocompartido]/S /T /E /G "[grupoalqueseleasignaránpermisos]":6184B /e /spec A /L [log.txt]

Nota: No es objetivo de esta nota explicar los parámetros de la herramienta XCACLS.VBS, sin embargo en el siguiente link encontrarán todas las referencias.

Luego de haber aplicado el script, si bien los usuarios podrán ver todas carpetas dentro del recurso compartido, no podrán ver los archivos contenidos en aquellas en las cuales realmente no deban acceder. Más allá de que esta solución no sea la mejor, al menos proteje lo más importante, que es la confidencialidad y la integridad de aquellos archivos a los cuales se debe otorgar acceso solo a quien/es corresponda/n.

Por supuesto, el caso mencionado es uno de los tantos ejemplos que se pueden presentar en base a diferentes formas y definiciones que se tomen a la hora de aplicar permisos en un File Server.

Espero que les sea de utilidad.

Saludos.

Marcelo.