FSRM: Quotas e Filtragem de Ficheiros no Windows Server

O File Server Resource Manager (FSRM) vem incluído no Windows Server sem custo adicional e resolve dois problemas clássicos do file server da PME: utilizadores que enchem discos partilhados e ficheiros que não deviam estar lá (multimédia, executáveis, e num mau dia, ransomware). A definição oficial: “File Server Resource Manager (FSRM) is a role service in Windows Server that enables you to manage and classify data stored on file servers.” Aplica-se ao Windows Server 2025, 2022, 2019 e 2016.

O Que o FSRM Faz

Cinco funcionalidades, na terminologia oficial:

  • Quota management — limitar o espaço por volume ou pasta, com templates aplicáveis a novas pastas
  • File screening — controlar que tipos de ficheiros os utilizadores podem guardar nas partilhas
  • Storage reports — relatórios de uso de disco, duplicados, ficheiros grandes, e tentativas de gravar ficheiros bloqueados
  • File Classification Infrastructure — classificar ficheiros automaticamente por conteúdo/propriedades e accionar tarefas
  • File Management Tasks — acções condicionais sobre ficheiros classificados (expirar, encriptar, comando custom)

Nota oficial importante: FSRM só suporta volumes NTFS. ReFS não é suportado.

Instalação

FSRM é um role service da role File Server:

Install-WindowsFeature FS-Resource-Manager -IncludeManagementTools

Verificação:

Get-WindowsFeature FS-Resource-Manager

A gestão fica no File Server Resource Manager MMC ou por PowerShell (módulo FileServerResourceManager). As ferramentas antigas de linha de comandos (Dirquota.exe, Filescrn.exe, Storrept.exe) continuam a existir, mas os cmdlets PowerShell são o caminho moderno.

Quotas: Hard, Soft e Auto-Apply

Dois tipos de quota:

  • Hard quota: bloqueia a gravação quando o limite é atingido.
  • Soft quota: só avisa, não bloqueia. Útil para observar antes de apertar.

Exemplo prático da doc oficial: “Create a 200-MB quota for each user’s home directory and notify them when they’re using 180 MB.” — ou seja, threshold de notificação a 85-90% do limite.

Em PowerShell:

# Quota hard de 5 GB na pasta do utilizador, com notificações
New-FsrmQuota -Path "D:\Shares\Utilizadores\ana" -Size 5GB -Description "Home folder"

# Auto-apply: qualquer subpasta nova herda a quota do template
New-FsrmAutoQuota -Path "D:\Shares\Utilizadores" -Template "5 GB Limit"

O padrão recomendado é trabalhar sempre com templates (criar/editar em Quota Templates): alterar o template propaga a todas as quotas derivadas, em vez de editar pasta a pasta.

File Screening: Bloquear Extensões

O file screening impede (active screening) ou apenas monitoriza (passive screening) ficheiros por padrão de nome/extensão. Casos de uso clássicos:

  • Bloquear multimédia em pastas de trabalho (“Disallow any music files to be stored in personal shared folders”)
  • Bloquear executáveis e scripts em partilhas de dados
# File group com os padrões a bloquear
New-FsrmFileGroup -Name "Executaveis Bloqueados" -IncludePattern @("*.exe", "*.bat", "*.cmd", "*.ps1", "*.vbs", "*.js", "*.msi")

# Screen activo numa partilha
New-FsrmFileScreen -Path "D:\\Shares\\Documentos" -IncludeGroup "Executaveis Bloqueados" -Active:$true

Duas limitações honestas: o screening é por padrão de nome, não por conteúdo — um .exe renomeado para .pdf passa. E aplica-se a gravações via file server, não a protocolos alternativos. É camada de política e contenção, não antivírus.

File screen exceptions: permitem abrir buracos numa política ampla — por exemplo, bloquear vídeo em todo o servidor mas permitir na pasta do grupo de formação. A regra da doc: não se pode criar uma exception numa pasta que já tem file screen; aplica-se a subpastas.

O Papel no Cenário Ransomware

O FSRM tem fama de ferramenta anti-ransomware pela capacidade de detectar gravações em massa de extensões de cifra e reagir:

# File group com padrões de ransomware conhecidos (lista a manter)
New-FsrmFileGroup -Name "Ransomware Extensions" -IncludePattern @("*.locked", "*.crypt", "*.wcry", "*.onion")

# Screen que acciona um comando quando o padrão é detectado
# A acção cria-se primeiro (comando que isola o servidor)
$action = New-FsrmAction -Type Command -Command "C:\\scripts\\isolate.ps1" -KillTimeout 60

# O file screen usa a acção como notificação
New-FsrmFileScreen -Path "D:\\Shares" -IncludeGroup "Ransomware Extensions" -Active:$true -Notification $action

O padrão clássico: um evento de command notification que desliga a partilha SMB (Set-SmbShare -ShareName X -Available $false) ou corta a rede, contendo o dano. Duas ressalvas sérias:

  • Reactividade: o FSRM reage quando os primeiros ficheiros já estão cifrados. Não substitui EDR, nem backups offline imutáveis.
  • Manutenção: a lista de extensões precisa de actualização contínua, e falsos positivos (um .locked legítimo de ferramenta de encriptação de arquivo morto) podem cortar partilhas em produção. Testar em screen passivo primeiro.

Como contenção barata e adicional numa PME sem EDR no file server, é uma rede de segurança razoável. Como primeira linha, não.

Storage Reports

Os relatórios respondem às perguntas do gestor: quem está a encher o disco, que duplicados existem, que ficheiros ninguém abre há anos. A doc sugere o exemplo de um relatório agendado “every Sunday night at midnight” dos ficheiros acedidos nos últimos dois dias para planear manutenção. Os tipos principais: Large Files, Duplicate Files, Files by File Group, Most Recently Accessed, Files by Owner, Quota Usage, File Screening Audit.

Integração com o Cenário de Partilhas SMB da PME

Num file server típico da PME:

  1. Auto-quotas por utilizador na pasta de homes com template único — ninguém enche o volume sozinho.
  2. Screening activo de executáveis em partilhas de documentos — reduz superfície de propagação de malware.
  3. Relatório mensal de quota usage por email ao responsável de IT.
  4. Classification (avançado): etiquetar ficheiros com dados de clientes por conteúdo e accionar expiração ou encriptação — relevante quando o Dynamic Access Control está em jogo, mas numa PME típica fica por implementar.

O FSRM não aparece em roadmaps de deprecação e continua presente no Windows Server 2025. A alternativa paga (Nasuni, Varonis, ferramentas de quota de terceiros) só faz sentido a partir de complexidade que a maioria das PMEs não atinge.

Artigos Relacionados