Comparticiones de archivos y sus permisos

Una compartición es una carpeta publicada en la red con un nombre. Quien la alcanza no ve la ruta del disco: ve el nombre y lo que ese nombre le deje hacer.

El permiso se decide en dos capas distintas y se aplican las dos a la vez. La primera es el permiso de la compartición: qué puede hacer alguien que llega por la red. La segunda es el permiso del sistema de archivos sobre esa carpeta: qué puede hacer esa misma cuenta sobre los archivos, llegue por donde llegue. Lo que una persona puede hacer de verdad es lo que las dos capas le permiten.

De ahí sale el error más repetido del oficio: ver «todos: escritura» en la primera capa y escribir un hallazgo. Si la segunda capa solo deja escribir al grupo de ingeniería, nadie más escribe, y el hallazgo es falso. Al revés también pasa: una segunda capa generosa queda tapada por una primera restrictiva, hasta que alguien cambia la primera «para arreglar un problema de acceso» y abre todo sin saberlo.

Hay un dato en el listado que no depende de qué cuenta tenga quien pregunta: si el recurso responde a alguien que no presenta ninguna. Ese es el que se mira primero, porque convierte «hay que tener una cuenta del dominio» en «basta con estar en la red».

Abre el laboratorio y revisa la columna que dice si el recurso contestó sin credenciales.

El informe necesita una cifra que otra persona pueda repetir con la misma evidencia: cuántos recursos tienen la compartición abierta a todo el mundo con escritura. No todos serán hallazgo —la segunda capa decide—, pero sí son los que hay que revisar uno a uno, y esa es la cifra que justifica el tiempo dedicado.

Un dominio Windows publica por su cuenta un par de comparticiones que todo el mundo lee: ahí viven las políticas y los guiones que se aplican al iniciar sesión, y los equipos tienen que poder leerlas o no arranca nada. Verlas abiertas a lectura no es un hallazgo, es el funcionamiento normal. Lo que sí vale la pena mirar dentro de ellas es otra cosa: si alguien dejó un guion con una contraseña escrita, eso lo lee cualquiera con una cuenta del dominio.

Lo mismo con la compartición de controladores de impresora: existe para que los equipos recojan el controlador solos. Abierta a lectura es lo esperado; abierta a escritura, no.