第十五章 網絡安全之文件係統安全
現在你已知道如何實施帳號的安全，並已建立了一個有效的認證機製，接下來將實施安全中訪問控製部分。訪問控製必須在兩個地方實施，即本地和遠程。文件可以由用戶在本地訪問或通過網絡進行遠程訪問。本課將對這兩種方法逐一進行測試。
WindowsNT文件係統安全
當建立文件的權限時，你必須先實現WindowsNT的文件係統（NTFS）,當然你也可以使用FAT格式，但是並不支持文件級的權限。FAT隻在那些相對來講，對安全要求較低的情況下使用。即使NTFS也不能認為是能完全地保護文件的，這一點在稍後的實驗中你將會看到。
一旦已經實施了NTFS的文件係統格式，可通過WindowsNT的資源管理器直接來管理文件的安全。使用NT資源管理器你可為設置目錄或文件的權限。基於文件級的權限你可以分配下麵幾種：讀取（R）,寫入(W)，執行(X)，刪除(D)，改變(P)，取得所有權(O)。詳細請參照下表：
NTFS權限
基於目錄
基於文件
讀取(R)
顯示目錄名，屬性，所有者及權限
顯示文件數據，屬性，所有者及權限
寫入(W)
添加文件和目錄，改變一個屬性以及顯示所有者和權限
顯示所有者和權限；改變文件的屬性；在文件內加入數據
執行(X)
顯示屬性，可進入目錄中的目錄，顯示所有者和權限
顯示文件屬性，所有者和權限；如果是可執行文件可運行
刪除(D)
可刪除目錄
可刪除文件
改變權限(P)
改變目錄的權限
改變文件的權限
取得所有權(O)
取得目錄的所有權
取得文件的所有權
為了簡化權限的管理，NT有幾種有關權限的標準。通常在分配權限的時候，往往是組合使用權限而不是使用單獨的權限，這些權限如下表
標準權限
基於目錄
基於文件
不可訪問
無
無
列出
RX
不適用
讀取
RX
RX
添加
WX
不適用
添加和讀取
RWS
RX
更改
RWXD
RWXD
完全控製
ALL
ALL
在這些權限的基礎上，你可以達到根據需要來訪問控製。但是確定什麼是你需要的最小權限是困難的。回顧一下第一課我們所講的一個新建立的NTFS分區默認情況下everyone組對其有完全控製的權限。這種標準是無法接受的，如果你不加選擇的刪除everyone組或在任何地方都把不可訪問的權限賦予給everyone組，那麼有可能會損壞你的NT安裝。Everyone組必須可以訪問主要的係統目錄（比如登陸目錄）來使用戶能夠連接和登陸到服務器上。因為用戶在開始登陸的過程中還沒有被認證，你必須使用everyone組提供訪問以使他們能夠被認證。賦予everyone組不可訪問其實更危險，因為拒絕訪問優先於允許訪問，而且所有的用戶都是屬於everyone組的，這樣也就等於完全阻止了對文件係統的訪問。
目錄的權限分配和文件是一樣的。目錄的權限影響其目錄中新建的文件。換句話說就是任何新建的文件將繼承此目錄的權限。
磁盤分區
因為操作係統目錄的權限是非常嚴格的，把WindowsNT放置自己單獨的分區內是個明智的選擇。在這個分區上隻安裝WindowsNT而不安裝應用程序使管理任務簡單很多，一個磁盤分區可能會像下圖這樣。
操作係統
程序文件
數據
盡管這種分區需要額外地策劃，但它還是很有吸引力，特別是簡化了對於目錄權限的管理。目錄可以根據需要分開。如果你在運行一個設備如WEB服務器，你可能會考慮使用HTML，圖像和其它一些靜態文件在一個分區上，而你的腳本文件則放到另一個分區上。你可以將腳本設置成隻可以執行那些靜態文件可允許讀取。這種策略的結果就是易於管理文件和目錄的權限。
複製和移動文件