Microsoft Office SharePoint Server 2007 (MOSS) и Windows SharePoint Services 3.0 (WSS) дает компаниям возможность собирать данные с многих источников и публиковать их в централизованном месте, чтобы пользователи имели к ним доступ. Но что следует учитывать администраторам SharePoint, чтобы убедиться в том, что конфиденциальная информация доступна не для всех?
В этой статье мы сконцентрируемся на трудностях защиты данных на сайтах и страницах Microsoft SharePoint, а также информации, которая доступна через соединения данных с конечными системами (через BDC и соединения данных (data-links), созданные вручную). Целевая аудитория этой статьи в первую очередь представляет собой администраторов серверов и сети, а также разработчиков и издателей SharePoint.
Почему следует уделять внимание защите информации?
Существуют различные мнения на счет того, что следует учитывать во время публикации содержимого на сайтах SharePoint интрасети. Иногда очень сложно контролировать информацию, к которой разрешен доступ, если структура содержимого и безопасный доступ к этому содержимому спланирован не очень тщательно с самого начала. По мере роста интрасети разработчики и издатели учатся тому, как использовать SharePoint для командной работы, управления документами и динамических отчетов. Это содержимое становится доступным для других сотрудников, и здесь возникает ключевой вопрос: Какую информацию сотрудникам разрешено искать и читать? SharePoint, будучи местом для централизации и структурирования информации, на самом деле поддерживает рабочий процесс сотрудников и команд, но также может стать прорехой в безопасности данных, если не защищена должным образом.
Давайте начнем с примерного сценария:
Компания по производству игрушек A делает ключевые показатели производительности (KPI) доступными на своем сайте SharePoint, чтобы показывать исполнительному персоналу, как их отделы работают в финансовом отношении на веб странице. Разработчик создает канал данных (data-connection) к финансовой базе данных для извлечения данных. Исполнительный персонал имеет свой блог на том же сайте, на котором они обсуждают KPI каждую неделю.
Рисунок 1: Что находится за привлекательной веб частью?
В этом примере разработчикам необходимо защищать канал финансовых данных, чтобы только необходимую информацию можно было извлечь из базы данных, а также им необходимо убедиться в том, что только исполнительный персонал мог иметь доступ к данным и блогу. Исполнительный персонал должен знать о важности конфигурации безопасности, чтобы обеспечивать и проверять строгое следование политике. В худшем случае разработчики используют BDC и учетную запись с полными правами для финансовой базы данных, а также делают ее видимой ‘ они не ограничивают доступ к сайту только для исполнительного персонала. В этом случае любой пользователь сможет найти финансовые данные, прочесть их и комментарии блога в интрасети.
Обеспечение того, чтобы интрасеть была безопасным местом, представляет собой задачу, которую необходимо тщательно планировать. Если каждый человек, начиная с архитектора и заканчивая конечным пользователем, знает об этом и понимает, зачем и как защищать содержимое (и следует политикам), то интрасеть будет безопасным местом для ваших данных.
Как пользователи могут получить данные компании?
Когда мы говорим о рисках безопасности данных, напрашивается очевидный вопрос: ‘как избежать ситуации, в которой люди могут просматривать или даже получать копии конфиденциальной информации’? Сегодня практически невозможно быть на сто процентов уверенным в том, что никто не получит копию и не вынесет ее за пределы компании. О да, это осуществимо, но сколько компаний имеют такие строгие политики по всему миру? Не многие.
Инфраструктура SharePoint оснащена одной замечательной функцией, которая мне очень нравится: Пользователи не могут просматривать содержимое, которое ограничено. ДА, именно такая ситуация нравится всем нам! А благодаря функции управления правами на информацию (Information Rights Management - IRM) мы получаем более строгий контроль над пользователями. Но как все-таки данные могут выходить за пределы SharePoint и использоваться еще где-либо? Конечно, резервные копии SharePoint содержат большой объем информации, поэтому их необходимо держать в надежном месте, где пользователи не будут иметь к ним доступа. Если у пользователей есть право на чтение содержимого, они могут использовать’
Интернет обозреватель
- Чтобы копировать – вставлять данные в любое приложение.
- Экспортировать данные в XML-файл через URL протокол (owssvr.dll)
Продукты Office
- Подключение и экспортирование может быть выполнено в приложения Office
- Функция ‘Connect to Outlook’ может сделать данные доступными в автономном режиме и позволит их экспортирование
Прочие программы
- Запросы в ферму SharePoint можно выполнять, например, с помощью Windows Powershell или других приложений
Копирование данных может стать проблемой, а все необходимые инструменты для этого предоставлены пользователям без ограничений. Можно сокрыть ссылки и страницы от пользователей, но необходимо задать правильные разрешения в списках, элементах, библиотеках документов и т.д., чтобы избежать копирования/потери данных.
Определение того, где проверять безопасность или делать ее надежнее
Итак, теперь мы знаем, зачем необходимо уделять должное внимание безопасности интрасети. Определение уязвимого места представляет собой следующую трудность (тоже довольно большую) и, возможно, носящую более технический характер. Сначала Microsoft SharePoint довольно сложно познать полностью. Но работа с отдельными частями в течение некоторого времени помогает сложить мозаику по частям. Как показано на рисунке 2, я выделил различные разделы данных и то, как они соединены в структуре SharePoint, коммуникации показаны стрелками. Это упрощает некоторые элементы и функции, но дает вам картину того, что искать в своей среде. Если вам нужны подробности, посетите Microsoft TechNet для полных схем (ссылки приведены ниже).
Рисунок 2
Заметили вопросительные знаки? Это те области, в которых следует уделять особое внимание вопросам безопасности. Я начну рассматривать вопросы безопасности с верхней части схемы.
- Когда пользователь получает доступ к интрасети
SharePoint:
Какой тип аутентификации нужно использовать?
Следует ли шифровать трафик с помощью SSL? - SharePoint данные представляют собой списки, страницы и
библиотеки документов.
Следует ли ограничивать доступ к некоторым/всем элементам на разном уровне?
Нет доступа
Только чтение
Издатели / Редакторы
Администраторы
Являются ли администраторы сайтов, SharePoint Service Providers (SSP) правильными? - Пользовательские страницы могут содержать настроенные
вручную подключения данных.
Убедитесь, что правильные разрешения заданы для страниц/файлов.
Просматривайте ‘Внешние источники данных’ ниже, если используется пользовательское подключение. - Пользовательские решения могут содержать код, имеющий
доступ ко многим областям.
Выбирайте для установки только те пользовательские решения, которым доверяете.
Выбирайте соответствующий уровень безопасности при установке решения (смотреть раздел дополнительных ссылок).
Просматривайте ‘Внешние источники данных’ ниже, если используется пользовательское подключение. - Поиск
Стандартная учетная запись доступа к содержимому имеет полные права чтения ко всем веб приложениям в семействе.
Настройте права доступа чтения вручную для следующих компонентов:
SharePoint сайты за пределами фермы сервера
Business Data Catalog приложения
Веб сайты
Файловые ресурсы
Публичные папки Microsoft Exchange Server
Lotus Notes - Доступ к данным Business Data Catalog (BDC)
Выберите соответствующий уровень безопасного доступа для пользователей, чтобы убедиться, что конфиденциальная информация доступна не для всех.
Выберите соответственный метод аутентификации для своих BDC соединений (смотреть раздел ссылок).
Если вы настраиваете поисковую программу, учитывайте доступ к искомым данным (crawled data). - Пользовательские подключения к базе данных можно
создавать для разработчиков.
Убедитесь, что подключения доступны только тем сотрудникам, которым необходима данная информация. - Внешние источники данных
Используют ли подключения данных другие мандаты?
Могут ли данные мандаты обеспечивать более широкий доступ, чем нужно?
По возможности используйте аутентификацию Use Pass-through/Single Sign-On.
Если используется RevertToSelf, помните, что эта опция использует учетную запись Application Pool для доступа к источнику данных. - Учетные записи служб
Используйте права с минимальными привилегиями для учетных записей служб (смотреть раздел ссылок). - WSS/MOSS Servers
Защитите сервер антивирусной программой для ОС и SharePoint.
Обновляйте сервер исправлениями безопасности при возможности.
Используйте брандмауэр для снижения риска атак.
Защищайте сервер физически.
Не разглашайте номер порта центрального администратора другим пользователям. - Сервер баз данных MOSS SQL (не на том же сервере, что и
WSS/MOSS)
Защищайте сервер антивирусной программой для ОС и SharePoint.
Обновляйте сервер исправлениями безопасности по возможности.
Используйте брандмауэр для ограничения риска атак.
Защищайте сервер физически.
Используйте SQL псевдонимы и нестандартные порты для коммуникации ‘ особенно если используется DMZ. - Сетевые взаимодействия
По возможности шифруйте взаимодействия между серверами.
Используйте схему и вышеприведенный список, чтобы проверить состояние здоровья своей интрасети, а также обсудите решения, принятые для вашей фермы SharePoint. Это не полный список, но воспринимайте его в качестве руководства для повышения безопасности фермы. Компании малого и среднего бизнеса склонны к применению более жесткой безопасности в разделе рисунка 2 под названием ‘SharePoint Data’, но конечно это будет изменяться в зависимости от структуры.
Заключение
В этой статье мы рассмотрели, почему необходимо контролировать доступ к данным и каких ситуаций избегать. Мы также посмотрели, как определять прорехи в безопасности, и моменты безопасности в определенных частях фермы интрасети SharePoint.
Дополнительные ссылки
- Microsoft MSDN: Business Data Catalog Authentication
- Microsoft MSDN: URL Protocol
- Microsoft TechNet: Plan for and design security (Office SharePoint Server)
- Microsoft TechNet: Plan for administrative and service accounts
- Microsoft Download center: MOSS Logical Architecture diagram
- Combined Knowledge document: Code Access security for administrators