SMB (Server Message Block)

O protocolo SMB (também conhecido como CIFS (Common Internet File System)) fornece principalmente acesso compartilhado a arquivos em uma rede do Microsoft Windows. Ele também fornece autenticação.

As seguintes opções do SMB têm implicações de segurança:

• Restrict Anonymous Access to share list - Esta opção exige que os clientes façam a autenticação usando o SMB para receberem uma lista de compartilhamentos. Se esta opção estiver desativada, os clientes anônimos poderão acessar a lista de compartilhamentos. Por padrão, esta opção está desativada.

• SMB Signing Enabled - Esta opção ativa a interoperabilidade com clientes SMB utilizando o recurso de assinatura SMB. Se a opção estiver ativada, um pacote assinado terá a assinatura verificada. Se ela estiver desativada, um pacote não assinado será aceito sem a verificação de assinatura. Por padrão, esta opção está desativada.

• SMB Signing Required - Esta opção pode ser usada quando a assinatura SMB é obrigatória. Quando esta opção estiver ativada, todos os pacotes SMB deverão ser assinados, caso contrário, eles serão rejeitados. Os clientes que não oferecem suporte ao recurso de assinatura SMB não podem se conectar ao servidor. Por padrão, esta opção está desativada.

• Enable Access-based Enumeration - Quando esta opção é definida, as entradas de diretório são filtradas com base nas credenciais do cliente. Quando o cliente não tiver acesso a um arquivo ou diretório, esse arquivo será omitido da lista de entradas retornadas para esse cliente. Por padrão, esta opção está desativada.

Autenticação no Modo de Domínio do AD (Active Directory)

No Modo de Domínio, os usuários são definidos no Active Directory. Os clientes SMB podem se conectar ao ZFSSA usando a autenticação Kerberos ou NTLM.

Quando o usuário se conecta com um nome de host ZFSSA totalmente qualificado, os clientes Windows do mesmo domínio ou de um domínio confiável utilizam a autenticação Kerberos; caso contrário, eles usarão a autenticação NTLM.

Quando um cliente SMB usa a autenticação NTLM para se conectar ao ZFSSA, as credenciais do usuário são encaminhados ao Controlador de Domínio do AD para autenticação. Isso é denominado autenticação de passagem.

Se forem definidas políticas de segurança do Windows restringindo a autenticação NTLM, os clientes Windows deverão se conectar ao ZFSSA usando um nome de host totalmente qualificado. Para obter mais informações, consulte este artigo do MSDN: http://technet.microsoft.com/en-us/library/jj865668%28v=ws.10%29.aspx.

Após a autenticação, um "contexto de segurança" é estabelecido para a sessão SMB do usuário. O usuário representado pelo contexto de segurança tem um SID (Security Descriptor) exclusivo. O SID denota a propriedade do arquivo e é usado para determinar os privilégios de acesso ao arquivo.

Autenticação no Modo de Grupo de Trabalho

No Modo de Grupo de Trabalho, os usuários são definidos localmente no ZFSSA. Quando um cliente SMB se conecta ao ZFSSA no Modo de Grupo de Trabalho, os hashes de nome de usuário e senha desse usuário são usados para autenticá-lo localmente.

O nível de compatibilidade do LM (LAN Manager) é usado para especificar o protocolo usado para autenticação quando o ZFSSA está no modo de grupo de trabalho.  

A lista a seguir mostra o comportamento do ZFSSA para cada nível de compatibilidade do LM:

• Nível 2: Aceita a autenticação LM, NTLM e NTLMv2

• Nível 3: Aceita a autenticação LM, NTLM e NTLMv2

• Nível 4: Aceita a autenticação NTLM e NTLMv2

• Nível 5: Aceita somente a autenticação NTLMv2.

Quando o usuário do Grupo de Trabalho é autenticado com êxito, um contexto de segurança é estabelecido. Um SID exclusivo é criado para os usuários definidos no ZFSSA utilizando uma combinação do SID da máquina e do UID do usuário. Todos os usuários locais são definidos como usuários UNIX.

Grupos Locais e Privilégios

Os grupos locais são grupos de usuários do domínio que concedem privilégios adicionais a esses usuários. Os administradores podem ignorar as permissões de arquivo para alterar a propriedade dos arquivos. Os operadores de backup podem ignorar os controles de acesso a arquivos para fazer backup e restaurar arquivos.

Operações Administrativas por meio do MMC (Console de Gerenciamento Microsoft)

Para garantir que somente os usuários adequados tenham acesso às operações administrativas, algumas restrições de acesso se aplicam às operações executadas remotamente com o MMC.

A lista a seguir mostra os usuários e as operações que eles têm permissão de executar:

• Usuários regulares - Listar compartilhamentos

• Membros do grupo Administradores - Listar arquivos abertos e fechar arquivos, desconectar conexões de usuários, exibir serviços e log de eventos

• Os membros do grupo Administradores também podem definir/modificar ACLs de nível de compartilhamento

• Membros do grupo Administradores - Listar arquivos abertos e fechar arquivos, desconectar conexões de usuários, exibir serviços e log de eventos

Verificação de Vírus

Este serviço verifica se há vírus no nível do sistema de arquivos. Quando um arquivo é acessado em um protocolo, o serviço de Verificação de Vírus verifica o arquivo e, caso seja encontrado um vírus, ele negará o acesso ao arquivo e o colocará em quarentena. A verificação é realizada por um mecanismo externo contatado pelo ZFSSA. Esse mecanismo não é fornecido no software do ZFSSA.

Após a verificação de um arquivo com as definições de vírus mais recentes, ele não será verificado novamente até ser modificado. A verificação de vírus é fornecida sobretudo para clientes SMB que têm maior probabilidade de introduzir vírus. Os clientes NFS também podem usar esse tipo de verificação, porém, devido ao modo como o protocolo NFS funciona, é possível que um vírus não seja detectado de forma tão rápida como ocorre em um cliente SMB.

Mecanismo de Atraso para Ataques Baseados em Tempo

O SMB não implementa qualquer mecanismo de atraso para impedir ataques baseados em tempo. Ele utiliza a estrutura criptográfica do Solaris.

Criptografia de Dados Durante a Transmissão

O serviço SMB usa a versão 1 do protocolo SMB, a qual não oferece suporte à criptografia de dados durante a transmissão.