Netzwerkfreigaben

Finde SMB-Freigaben auf Windows-Geräten, die für Jeder, Authentifizierte Benutzer, Anonyme Anmeldung oder Gäste offen sind.

Der Check Netzwerkfreigaben listet alle SMB-Freigaben eines Windows-Geräts samt ihren Freigabe-Berechtigungen und den NTFS-Berechtigungen des freigegebenen Ordners auf und alarmiert, wenn eine Freigabe für Jeder, Authentifizierte Benutzer, Anonyme Anmeldung oder Gäste offen ist. Offener Schreibzugriff löst immer einen kritischen Alarm aus; offener Nur-Lese-Zugriff löst eine Warnung aus, die sich abschalten lässt. Der Check läuft über den octoja-Agent auf dem Gerät und liest alles lokal mit den SMB-Bordmitteln von Windows aus — es wird nichts installiert, und Zugangsdaten sind nicht nötig. Er läuft standardmäßig alle 12 Stunden.

Voraussetzungen

Der Check läuft nur unter Windows — auf Clients ab Windows 8, auf Servern ab Windows Server 2012. Diese Versionen bringen die SMB-Werkzeuge mit, über die der Check Freigaben und Berechtigungen ausliest; auf einem älteren Windows meldet der Check stattdessen die unten gezeigte Get-SmbShare-Meldung.

Schritte

Gehe zu Geräte und öffne das Windows-Gerät.
Klicke auf den Tab Checks → Check hinzufügen → Netzwerkfreigaben.
Passe bei Bedarf die Einstellungen an.
Klicke auf Check hinzufügen.

Einstellungen

Alle Felder sind optional — der Check läuft ohne Anpassung mit seinen Standardwerten.

Feld	Typ	Erforderlich	Standard	Beschreibung
Admin-Freigaben einbeziehen	Schalter	Nein	Aktiviert	Auch die Standard-Admin-Freigaben (C$, ADMIN$, IPC$, …) auflisten.
Vom Alarm ausgenommene Freigaben	Liste von Freigabenamen	Nein	SYSVOL, NETLOGON	Diese Freigaben werden weiterhin aufgelistet, lösen aber keinen Alarm aus (Wildcards erlaubt). Auf Domänencontrollern ist Lesezugriff für Authentifizierte Benutzer auf SYSVOL und NETLOGON beabsichtigt.
Bei offenem Nur-Lese-Zugriff warnen	Schalter	Nein	Aktiviert	Auch warnen, wenn Jeder, Authentifizierte Benutzer, Anonym oder Gäste nur Lesezugriff haben. Schreibzugriff löst immer einen kritischen Alarm aus.
Abfrage-Timeout (Sekunden)	Zahl	Nein	120	Maximale Wartezeit für das Auflisten der Freigaben und das Auslesen ihrer Berechtigungen. Erscheint erst nach Aktivieren von Erweiterte Optionen anzeigen.

Die Druckertreiberfreigabe PRINT$ zählt ebenfalls als Admin-Freigabe. Schaltest du Admin-Freigaben einbeziehen aus, werden diese Freigaben weder aufgelistet noch ausgewertet. Eine eigene versteckte Freigabe wie Data$ bleibt dagegen überwacht: Das abschließende $ allein macht sie nicht zur Admin-Freigabe. Soll PRINT$ sichtbar bleiben, aber keinen Alarm auslösen, lasse Admin-Freigaben aktiviert und ergänze PRINT$ unter Vom Alarm ausgenommene Freigaben.
In Vom Alarm ausgenommene Freigaben funktionieren Wildcards — Backup* trifft jede Freigabe, deren Name mit Backup beginnt, und ? steht für ein einzelnes Zeichen. Groß- und Kleinschreibung spielt dabei keine Rolle. Ausgenommene Freigaben bleiben mit dem Chip Vom Alarm ausgenommen in der Liste; sie ändern nie das Check-Ergebnis.
Abfrage-Timeout (Sekunden) hat eine Untergrenze von 30 Sekunden: Werte von 1 bis 29 werden beim Lauf auf 30 angehoben, 0 fällt auf den Standardwert 120 zurück.

Ergebnisse

Freigabe- und NTFS-Berechtigungen werden getrennt bewertet. Der Check berechnet nicht die gemeinsam wirksamen Zugriffsrechte. Eingeschränkte NTFS-Rechte heben deshalb einen Alarm für Ändern bei Authentifizierte Benutzer auf der Freigabe nicht auf. Setze eine Freigabe nicht nur zum Beheben des Check-Status auf Nur-Lesen, wenn die Benutzer Schreibzugriff benötigen.

Für beabsichtigte Ausnahmen nutze Vom Alarm ausgenommene Freigaben. Ein einzelnes * erfasst alle Freigaben und lässt ihre Berechtigungen sichtbar, unterdrückt aber sämtliche Befunde je Freigabe: zu Freigaberechten, NTFS-Rechten und Fehlern beim Auslesen dieser Rechte. Das ist kein Schalter nur für Freigaberechtsalarme. Überwache ausgenommene Berechtigungen anderweitig; Fehler der gesamten Abfrage können weiterhin einen Fehlerstatus auslösen.

Das Check-Ergebnis ist das schlechteste Ergebnis über alle Freigaben. Offen heißt Zugriff für Jeder, Authentifizierte Benutzer, Anonyme Anmeldung oder Gäste.

Ergebnis	Wann es eintritt
OK	Außerhalb der ausgenommenen Freigaben hat keines der vier Konten Zugriff auf eine Freigabe oder ihren Ordner.
Warnung	Eines der vier Konten hat Nur-Lese-Zugriff (nur solange Bei offenem Nur-Lese-Zugriff warnen aktiviert ist), oder die Berechtigungen einer Freigabe ließen sich nicht auslesen — Freigabe „…“: Freigabe-Berechtigungen konnten nicht gelesen werden. / Freigabe „…“: NTFS-Berechtigungen konnten nicht gelesen werden.
Kritisch	Eines der vier Konten hat Schreibzugriff auf die Freigabe selbst oder in den NTFS-Berechtigungen ihres Ordners. Diese Rechte gelten als Schreibzugriff: Full, Change, Modify, Write, Delete, TakeOwnership, ChangePermissions, CreateFiles, CreateDirectories und AppendData.

Verweigern-Einträge lösen nie einen Alarm aus: Ein Eintrag, der einem der vier Konten den Zugriff verweigert, schränkt die Freigabe ein, statt sie zu öffnen. Er bleibt in der Berechtigungsliste sichtbar, markiert mit Verweigert.

Was der Check meldet

Jeder Lauf erzeugt eine Karte pro Freigabe; Funde stehen gesammelt über der Liste.

Eine Zusammenfassung, wie viele Freigaben geprüft wurden und wie viele davon offene Rechte haben. Auf einem Gerät ohne aufzulistende Freigaben steht dort stattdessen Keine Freigaben gefunden.
Eine Liste der Funde, eine Zeile pro offenem Recht in der Form Freigabe „…“: Freigabe-Recht „…“ für … — bzw. NTFS-Recht für Berechtigungen auf dem freigegebenen Ordner.
Eine Karte pro Freigabe mit Name, Dateipfad und einem Badge OK, Warnung oder Kritisch; Admin-Freigaben tragen den Chip Admin-Freigabe, ausgenommene Freigaben den Chip Vom Alarm ausgenommen. Die Karten lassen sich auf- und zuklappen; Karten mit Warnung oder kritischem Ergebnis sind von vornherein offen.
In jeder Karte die Freigabe-Berechtigungen und NTFS-Berechtigungen, jeweils mit Konto und Rechten; Verweigern-Einträge sind mit Verweigert markiert, die vier offenen Konten hervorgehoben.

Wenn der Check nicht laufen kann

Schlägt die Abfrage selbst fehl, meldet der Check einen Fehler statt eines Status — über die Freigaben sagt das nichts aus.

Meldung	Was zu tun ist
Abfrage nach …s abgelaufen.	Das Auflisten der Freigaben und Berechtigungen dauerte länger als das Abfrage-Timeout. Erhöhe Abfrage-Timeout (Sekunden) in den erweiterten Optionen.
Abfrage lieferte keine Ausgabe.	Die Abfrage endete ohne Ergebnis. Meist vorübergehend — nur bei Wiederholung lohnt ein Blick auf das Gerät.
Abfrage fehlgeschlagen: …	Windows hat beim Auslesen der Freigaben einen Fehler gemeldet; die Meldung zeigt ihn im Wortlaut.
Get-SmbShare ist auf diesem System nicht verfügbar (benötigt Windows 8/Server 2012 oder neuer).	Der Windows-Version fehlt das SMB-PowerShell-Modul, das der Check verwendet. Führe den Check auf Windows 8, Windows Server 2012 oder neuer aus.
Eine andere Meldung, die ohne vorangestelltes Abfrage … erscheint.	Der Check ist mit einem unerwarteten Fehler abgebrochen und gibt die Meldung unverändert weiter. Bei Wiederholung lohnt ein Blick auf das Gerät.