Non sei loggato come amministratore per tutto il tempo?

20

Nell'ufficio in cui lavoro, tre degli altri membri dello staff IT sono sempre collegati ai loro computer con account membri del gruppo degli amministratori di dominio.

Ho serie preoccupazioni riguardo all'accesso con diritti di amministratore (locale o per il dominio). Come tale, per l'uso quotidiano del computer, uso un account che ha solo i privilegi di utenti regolari. Ho anche un account diverso che fa parte del gruppo amministratori di dominio. Uso questo account quando devo fare qualcosa che richiede privilegi elevati sul mio computer, su uno dei server o sul computer di un altro utente.

Qual è la migliore pratica qui? Gli amministratori di rete devono essere registrati con i diritti per l'intera rete in qualsiasi momento (o anche il loro computer locale per quella materia)?

windows security best-practices

— colpire
fonte

Ho sempre pensato che fosse stupido. Non ho mai sentito parlare di una buona ragione per farlo. Forse dare account limitati ai genitori su Windows, ma stiamo parlando del nostro uso degli account

Hai mai avuto un bambino che correva facendo clic su qualcosa sul proprio PC? Che ne dici di rimuovere accidentalmente la principale condivisione di dati anziché la tua cartella mp3.

— Barfieldmv,

1

qualcuno per favore aggiungi un tag "windows" a questa domanda

— JoelFan

@ Barfieldmv, questa domanda riguarda un ambiente di lavoro, non il PC nella tua sala. I bambini non dovrebbero trovarsi nelle vicinanze e le cancellazioni accidentali possono essere ripristinate dai backup.

— John Gardeniers,

36

La migliore pratica assoluta è quella di utenti live, radice di lavoro . L'utente che ha effettuato l'accesso come quando si preme refresh su Server Fault ogni 5 minuti dovrebbe essere un utente normale. Quello che usi per diagnosticare i problemi di routing di Exchange dovrebbe essere Admin. Ottenere questa separazione può essere difficile, poiché almeno in Windows richiede sessioni di accesso doppie e ciò significa in qualche modo due computer.

Le VM funzionano davvero bene per questo, ed è così che lo risolvo.
Ho sentito parlare di organizzazioni che limitano l'accesso ai loro account elevati a determinate macchine virtuali speciali ospitate internamente e gli amministratori fanno affidamento su RDP per l'accesso.
Controllo dell'account utente aiuta a limitare ciò che un amministratore può fare (accedendo a programmi speciali), ma i suggerimenti continui possono essere altrettanto fastidiosi che dover eseguire il remote in un'altra macchina per fare ciò che deve fare.

Perché questa è una buona pratica? In parte è perché l'ho detto , e così anche molti altri. SysAdminning non ha un corpo centrale che imposta le migliori pratiche in alcun modo definitivo. Nell'ultimo decennio abbiamo pubblicato alcune best practice per la sicurezza IT che suggeriscono che usi i privilegi elevati solo quando ne hai effettivamente bisogno. alcune delle migliori pratiche sono impostate attraverso la gestalt dell'esperienza degli amministratori di sistema negli ultimi 40+ anni. Un articolo di LISA 1993 ( link ), un esempio di SANS ( link , un PDF), una sezione tratta dai "controlli di sicurezza critici" di SANS tocca questo ( link ).

— sysadmin1138
fonte

6

Si noti che in Windows 7 l'account Administrator è molto più limitato e non richiede doppie sessioni di accesso. Controllo dell'account utente funziona abbastanza bene. Funziona in modo significativamente inferiore in Vista.

— Ricket,

6

@Ricket, non sono d'accordo con il commento sull'UAC, almeno per gli amministratori. L'ho spento sulla mia postazione di lavoro perché quasi tutti i software che utilizzo fanno sì che l'UAC mi chiedesse l'autorizzazione. È così irritante e mi rallenta così tanto che i suoi aspetti positivi sono pesantemente compensati dai suoi aspetti negativi. Per funzionare "abbastanza bene", come dici tu, dovremmo essere in grado di dirlo per consentire o impedire sempre il software specificato, ma ovviamente non è così flessibile. Molto semplicemente, è un tentativo immaturo e sconsiderato di quello che un giorno potrebbe essere un prezioso componente di sicurezza.

— John Gardeniers,

1

^ Si noti che l'articolo TechNet collegato nel commento sopra è vecchio, scritto prima di Vista (poiché si riferisce al suo nome in codice, "Longhorn"). Ma per gli utenti di XP è molto valido. @John Immagino che il chilometraggio di ognuno vari, ma non ottengo mai popup UAC e utilizzo un bel po 'di software. L'unica eccezione sono i programmi di installazione (duh) e il fastidioso programma di aggiornamento Java. Vista era molto peggio, quindi se non hai provato UAC da Windows 7, ti consiglio vivamente di riaccenderlo, altrimenti suppongo che tu stia usando un software obsoleto / scritto male. Quasi nessun software richiede l'autorizzazione

— dell'amministratore

1

@Ricket, utilizziamo chiaramente software molto diversi. Immagino che svolgiamo anche compiti molto diversi. Solo perché il software che usi non attiva l'UAC non significa che si applica al software utilizzato da altri. Man mano che acquisisci esperienza imparerai queste cose. Quello che ho detto è un fatto. Perché lo stai mettendo in discussione?

— John Gardeniers,

1

@Keith Stokes: cosa hai fatto al povero PuTTY per indurti a richiedere il controllo dell'account utente? PuTTY non ha bisogno di elevazione per funzionare!

— Evan Anderson,

12

Poiché si tratta di un dominio Windows, è probabile che gli account che stanno utilizzando abbiano un accesso completo alla rete a tutte le workstation, quindi se succede qualcosa di brutto, può trovarsi attraverso la rete in pochi secondi. Il primo passo è assicurarsi che tutti gli utenti svolgano il lavoro quotidiano, navigino sul Web, scrivano documenti, ecc. In conformità con il principio dell'accesso per l' utente minimo .

La mia pratica è quindi quella di creare un account di dominio e assegnare a tale account i privilegi di amministratore su tutte le workstation (PC-admin) e un account di dominio separato per il lavoro di amministrazione del server (server-admin). Se sei preoccupato che i tuoi server siano in grado di comunicare tra loro, puoi avere account individuali per ogni macchina (<x> -admin, <y> -admin). Prova sicuramente a usare un altro account per eseguire i lavori di amministrazione del dominio.

In questo modo, se stai facendo qualcosa su una workstation compromessa con l'account PC-admin e aumenta la possibilità che tu abbia i privilegi di amministratore per provare ad accedere ad altre macchine sulla rete, non sarà in grado di fare nulla brutto per i tuoi server. Avere questo account significa anche che non può fare nulla per i tuoi dati personali.

Devo dire, tuttavia, che in un posto so dove lo staff ha lavorato con i principi della LUA, durante i tre anni che ho visto non hanno avuto un'infestazione da virus adeguata; un altro dipartimento nello stesso posto che aveva tutti con amministratore locale e personale IT con amministratore del server ha avuto diversi focolai, uno dei quali ha impiegato una settimana di tempo IT per ripulire a causa della diffusione dell'infezione attraverso la rete.

Ci vuole un po 'di tempo per l'installazione, ma i potenziali risparmi sono enormi se si è colpiti da problemi.

— Iain Hallam
fonte

Mi comporto in questo modo e utilizzo un account di dominio per il mio lavoro quotidiano e, quando necessario, mi elevo al mio account di dominio amministratore privilegiato. Gli altri miei colleghi ridono di me e non vedo l'ora che le loro postazioni di lavoro abbiano un impatto negativo su qualcosa, quindi posso dire di avermelo detto.

— songei2f,

1

Conti separati per compiti separati è il modo migliore per esaminarlo. Il principio del privilegio minimo è il nome del gioco. Limitare l'uso degli account "admin" alle attività che devono essere eseguite come "admin".

— Liam
fonte

1

Le opinioni differiscono in qualche modo tra Windows e * nix ma la tua menzione di amministratori di dominio mi fa pensare che tu stia parlando di Windows, quindi è in questo contesto che sto rispondendo.

Normalmente su una workstation non è necessario essere admin, quindi la risposta alla tua domanda nella maggior parte dei casi sarà NO. Tuttavia, ci sono molte eccezioni e dipende davvero esattamente da quello che la persona sta facendo sulla macchina.

Su un server è argomento di molti dibattiti. La mia opinione è che accedo a un server solo per fare il lavoro di amministratore, quindi non ha senso accedere come utente e quindi eseguire ogni strumento separato usando run-as, che francamente è sempre stato un vero dolore nel tu-sai-cosa e per la maggior parte dei lavori rende semplicemente la vita di un amministratore eccessivamente difficile e che richiede tempo. Poiché la maggior parte del lavoro dell'amministratore di Windows viene eseguito utilizzando gli strumenti della GUI, esiste un certo grado di sicurezza, ad esempio un amministratore Linux che lavora sulla riga di comando, dove un semplice errore di battitura potrebbe mandarlo a cercare il nastro di backup della notte scorsa.

— John Gardeniers
fonte

+1, "Cosa accedi come su un server" È un grande argomento di dibattito.

— sysadmin1138

1

la mia vita è semplice ... l'account ha un nome distinto e tutti hanno password diverse.

Account God - admin di dominio per fare tutto il lavoro lato server

account semidio per amministrare i PC - non ha diritti su condivisioni / server - solo sui PC

utente debole - Mi concedo il power user sul mio PC, ma non ho nemmeno quei diritti su altri PC

le ragioni della separazione sono molte. non ci dovrebbero essere discussioni, fallo e basta!

— cwheeler33
fonte

Mi piace la separazione dei privilegi a tre livelli, ma convincere gli altri a praticare ciò che predichi deve essere un mal di testa.

— songei2f,

Può essere una vendita difficile in alcuni ambienti. Ma se riesci a metterti alla prova con i responsabili politici, ti aiuteranno a farne una politica seguita. Nessun Exec vuole perdere la propria azienda quando esiste una soluzione semplice e gratuita.

— cwheeler33,

Hai dimenticato # 4: l'auditing dell'utente a cui Dio accede, che è indipendente da tutti gli altri account. Quindi se un hacker fa diventare vendicativo il tuo dio, sai come è successo.

— Parthian Shot

0

A rischio di essere votato all'inferno, devo dire che dipende dal flusso di lavoro dell'amministratore. Per me personalmente, la stragrande maggioranza delle cose che sto facendo sulla mia workstation mentre sul lavoro avrà bisogno di quelle credenziali di amministratore. Hai cose integrate come strumenti di gestione del dominio, console di gestione di terze parti, unità mappate, strumenti di accesso remoto da riga di comando, script, ecc. L'elenco continua. Dover digitare le credenziali per quasi ogni singola cosa che apri sarebbe un incubo.

Le uniche cose che di solito non richiedono i privilegi di amministratore sono il mio browser Web, client di posta elettronica, client di messaggistica istantanea e visualizzatore di PDF. E la maggior parte di queste cose rimane aperta dal momento in cui accedo al momento in cui mi disconnetto. Quindi accedo con le mie credenziali di amministratore e poi corro come tutte le mie app a basso priv con un account a basso priv. È molto meno seccante e non mi sento meno sicuro per farlo.

— Ryan Bolger
fonte

eseguire come con priv basso in realtà non fa molto per la sicurezza in quanto il sistema è già in esecuzione con un account amministratore. Ti sei dato un falso senso di sicurezza. Fallo viceversa, accedi come utente, quindi esegui come amministratore. Concediti il power user per il tuo login se vuoi MA PER favore NON ESEGUIRE COME ADMIN tutto il tempo.

— Liam,

+1 Come ho detto nella mia risposta, "dipende davvero esattamente da quello che la persona sta facendo sulla macchina". Nonostante tutta la teoria e la cosiddetta "best practice" ci sono volte in cui non ha senso accedere come utente. Almeno non nel mondo di Windows.

— John Gardeniers,

Sono abbastanza sicuro che non ci siano diritti di power user in Windows 7. goo.gl/fqYbb

— Luke99

@Liam Senza offesa, ma ti sbagli dicendo che RunAs con basso livello di privacy non fa molto. Fa esattamente quello che dovrebbe fare, che è impedire a quel particolare processo (e ai suoi figli) di fare qualsiasi cosa con privilegi elevati. E questo è perfetto per le applicazioni che non hanno mai bisogno di privilegi elevati e generalmente tendono ad essere anche le più colpite dal malware.

— Ryan Bolger,