Was ist Access Based Enumeration (ABE) und wie wird sie aktiviert?

Was ist Access Based Enumeration (ABE)?

Access-Based Enumeration (ABE) wurde in Windows Server 2008 eingeführt und bietet Systemadministratoren ein zusätzliches Tool zum Schutz vertraulicher Informationen auf Dateiservern. ABE war zunächst als Add-on-Paket für Windows Server 2003 verfügbar, bevor es in Windows Server 2008 sofort verfügbar war. ABE verhindert, dass Benutzer Dateien und Ordner sehen, auf die sie keinen Zugriff haben, was in bestimmten Fällen nützlich sein kann wenn Ordnernamen vertrauliche Informationen enthalten, wenn der Speicherort bestimmter Informationen geschützt werden muss oder um einfach das Benutzererlebnis durch die Bereitstellung einer vereinfachten Ansicht einer Ordnerstruktur zu verbessern.

Nur Dateien und Ordner, für die der aktuell angemeldete Benutzer mindestens Leseberechtigung hat, werden von ABE angezeigt. Es ist auch erwähnenswert, dass ABE nur für freigegebene Ordner funktioniert und daher nicht für die Ansicht gilt, die Benutzer erhalten, wenn sie lokal eine Dateistruktur durchsuchen. Microsoft hat das Standardverhalten von ABE in Windows Server 2008 leicht geändert, sodass alle Freigaben, die mit der Dateifreigabefunktion im Windows Explorer erstellt wurden, automatisch für ABE aktiviert werden. Bei auf andere Weise erstellten Freigaben ist die ABE standardmäßig deaktiviert. Administrative Freigaben wie C$sind für ABE standardmäßig nicht aktiviert, ebenso wenig wie freigegebene Volumes.

ABE filtert bei jedem Zugriff die Dateien und Ordner heraus, zu deren Anzeige ein Benutzer keine Berechtigung hat. Daher kann die Aktivierung dieser Funktion die CPU-Last auf dem Server erhöhen. Das bedeutet, dass Sie vor der Aktivierung von ABE in Ihrer Umgebung einige Tests durchführen sollten, um dies zu sehen welche Auswirkungen es auf die Serverleistung haben wird. Aufgrund der möglichen Leistungseinbußen empfiehlt Microsoft, ABE nur zu aktivieren, wenn ein echter Bedarf besteht. ABE wird auf DFS-Domänennamensräumen (Distributed File System) unterstützt, was die Skalierbarkeit erleichtert, wenn zusätzliche Rechenleistung hinzugefügt werden muss.

Aktivieren Sie die zugriffsbasierte Enumeration mit „Server Manager“

Führen Sie die folgenden Schritte aus, um ABE zu aktivieren:

• Melden Sie sich mit lokalen Administratorrechten beim Server an
• Öffnen Sie den Server-Manager über das Symbol in der Desktop-Taskleiste.
• Klicken Sie in der Optionsliste links im Server-Manager auf Datei- und Speicherdienste.
• Klicken Sie mit der rechten Maustaste auf die Freigabe, die Sie in der Liste der verfügbaren Freigaben auf der rechten Seite verwalten möchten, und wählen Sie „Eigenschaften“ aus dem Menü.
• Klicken Sie im Eigenschaftendialog in der Liste der Optionen auf der linken Seite auf Einstellungen.
• Aktivieren oder deaktivieren Sie ABE, indem Sie die Option „Zugriffsbasierte Aufzählung aktivieren“ umschalten.
• Klicken Sie auf OK, um Ihre Änderungen zu speichern.

Abschluss

Obwohl ABE eine nützliche Ergänzung zu Windows Server ist, stellt es keine Sicherheitsfunktion dar, da es Benutzer nicht daran hindert, auf Dateien und Ordner zuzugreifen. Dies ist die Aufgabe von Zugriffskontrolllisten (ACLs). Daher sollten Sie sich beim Schutz sensibler Informationen nicht allein auf ABE verlassen. Um einen besseren Einblick in die Nutzung Ihrer Dateiserver zu erhalten, bietet Lepide File Server Auditor eine detaillierte Prüfung von Windows-Dateiservern mit Berichten, die zeigen, wie auf Dateien zugegriffen und diese geändert werden, einschließlich Berechtigungen, mit der Möglichkeit, Echtzeitwarnungen einzurichten .