Lavoro in una piccola organizzazione con 2 server e 30 client. Siamo completamente Windows Server 2003 / XP. Oltre a me, il direttore delle operazioni e la nostra società di consulenza IT devono accedere a un account amministratore di dominio.
Dovremmo disporre di più account amministratore di dominio per qualsiasi motivo (modifica della registrazione, sicurezza o altro)? Ci sono ragioni per non avere più account amministratore di dominio?
Risposte:
Ogni utente che svolge attività amministrative deve avere un account dedicato per eseguire tali attività. In un ambiente Windows, l'account amministratore (RID 500) incorporato deve disporre di una password complessa impostata, stampata e bloccata in una cassaforte, ecc. Per le emergenze.
Un principio generale di sicurezza è il seguente: vuoi sapere chi sta svolgendo le attività (amministrative, in questo caso) (ovvero avere una pista di controllo. La condivisione dei conti lo fa saltare fuori dall'acqua.
Inoltre, si desidera essere in grado di interrompere l'accesso di una persona in caso di violazione della sicurezza della password, chiusura, ecc. Anche gli account condivisi non soddisfano tali criteri.
Gli account condivisi e di uso comune di qualsiasi tipo devono essere considerati di dubbia importanza, ma le credenziali di amministrazione condivisa sono sempre errate.
ri: Considerazioni specifiche su Windows come connessioni limitate di Desktop remoto / Servizi terminal: sii cortese con i tuoi colleghi amministratori e non lasciare in giro sessioni disconnesse. Ho scoperto che la pressione sociale funziona abbastanza bene nelle piccole organizzazioni (vale a dire menzionando spesso e rumorosamente il fatto che admin XXX non ricorda di disconnettere i server). Puoi sempre avviare le sessioni disconnesse di altri utenti, se necessario. Aggiunge, forse, 30 secondi a un tentativo di connessione. In un'organizzazione più grande, o se diventa un problema grave, è possibile prendere in considerazione l'implementazione di timeout di sessione disconnessi.
Un po 'a parte, ma uno che è probabilmente in tema da quando hai menzionato un consulente IT: Come appaltatore IT stesso chiedo sempre un account di amministrazione dedicato per me stesso e chiedo di non conoscere credenziali di amministrazione "condivise". Protegge entrambe le parti e fornisce una pista di controllo. Voglio sempre che i miei Clienti si sentano come se potessero "bloccarmi" in un momento di preavviso (e anche avere effettivamente quella capacità) perché credo che mandi un messaggio potente che sono fiducioso nella mia capacità di mantenere il rapporto con sulla base dei meriti delle mie capacità e del valore che offro, non sulla base di una vaga sensazione che mi siano "bloccati".
Un motivo per non avere più account:
se gestisci tutto utilizzando il desktop remoto, potresti avere un limite a quelli. Se le persone chiudono semplicemente la sessione del desktop remoto senza disconnettersi, si legano rapidamente.
Un motivo per avere più account:
puoi vedere chi ha effettuato l'accesso quando succede qualcosa di brutto. Davvero, se hai un buon ambiente di squadra, chiunque abbia fatto qualcosa lo ammetterà.
La risposta di Evan è buona. Ricorda inoltre che non dovresti usare il tuo account amministratore per il lavoro quotidiano: esegui sempre comandi admin con runas o simili se stai eseguendo qualcosa direttamente sulla tua workstation.
Per gli account di servizio, è inoltre possibile disabilitare l'accesso interattivo per renderli più sicuri.
Un ultimo punto, assicurati di attivare il controllo di sicurezza sui tuoi server e assicurati che il registro degli eventi di sicurezza sia abbastanza grande (di solito lo imposto su 20 MB o più)