Разработчикам производственных изменений для нашей ИТ-группы было поручено проверить безопасность всех различных объектов в нашей группе, в первую очередь, чтобы убедиться, что люди, уволившиеся с нашей работы или перешедшие в другие группы, больше не имеют доступа к нашим общим серверам. , веб-каталоги, базы данных sql и т. д. Недавно мы завершили часть SQL, и у нас есть повторно используемый сценарий, который можно запускать ежегодно (или с любой частотой, которую мы придумали). Это сработало отлично, и мы проверили 20 баз данных на 10 или около того серверах за несколько минут.
Теперь что касается сервера. У меня есть приложение, написанное на C# с использованием .NET 2.0, которое будет рекурсивно сканировать список каталогов и сбрасывать ACL в текстовый файл. Это работает отлично. На локальной машине. Пути UNC и Mapped не работают, я получаю следующее сообщение об исключении: Процесс не обладает привилегией SeSecurityPrivilege, необходимой для этой операции.
В этой строке:
DirectorySecurity DirSec = di.GetAccessControl(AccessControlSections.All);
Где di — объект DirectoryInfo, перечисленный из массива DirectoryInfo[].
Мы вряд ли сможем получить привилегию SeSecurityPrivilege. Однако я не думаю, что это должно быть необходимо. Я могу открыть папку и щелкнуть правой кнопкой мыши свойства, щелкнуть вкладку безопасности и просмотреть ее в графическом интерфейсе. Я должен иметь доступ к нему программно.
Любые мысли о том, как я могу изменить этот раздел кода, чтобы получить разрешения для целевой папки?
private void CheckSecurity(DirectoryInfo[] DIArray)
{
foreach (DirectoryInfo di in DIArray)
{
DirectorySecurity DirSec = di.GetAccessControl(AccessControlSections.All);
string sAccessInfo = string.Empty;
foreach (FileSystemAccessRule FSAR in DirSec.GetAccessRules(true, true, typeof(System.Security.Principal.NTAccount)))
{
sAccessInfo += GetAceInformation(FSAR);
}
if (sAccessInfo != string.Empty)
{
// Write info to text file
}
}
}
private string GetAceInformation(FileSystemAccessRule ace)
{
StringBuilder info = new StringBuilder();
string line = string.Format("Account: {0}", ace.IdentityReference.Value);
info.AppendLine(line);
line = string.Format("Type: {0}", ace.AccessControlType);
info.AppendLine(line);
line = string.Format("Rights: {0}", ace.FileSystemRights);
info.AppendLine(line);
line = string.Format("Inherited ACE: {0}", ace.IsInherited);
info.AppendLine(line);
return info.ToString();
}
Изменить: как мне проверить удаленную папку на наличие атрибута чтения в ACL, если он не может получить метод «GetAccessControl()» для корневой папки? (Если я передам \server\path, будут ошибки при получении информации для \server\path).
Учетная запись пользователя является учетной записью домена, и у меня есть права на чтение файловой структуры. Я могу просмотреть безопасность из свойств папки/файлов.
Я проверю монитор процесса, но я не уверен, что смогу запустить его на сервере (я не являюсь администратором на рассматриваемом сервере (серверах)).
