Źle się logować przez cały czas jako administrator?

W biurze, w którym pracuję, trzech innych członków personelu IT jest cały czas zalogowanych do komputerów przy użyciu kont należących do grupy administratorów domeny.

Mam poważne obawy związane z zalogowaniem się z uprawnieniami administratora (lokalnie lub w domenie). Jako taki, do codziennego użytku na komputerze używam konta, które ma po prostu zwykłe uprawnienia użytkownika. Mam też inne konto, które należy do grupy administratorów domeny. Używam tego konta, gdy muszę zrobić coś, co wymaga podwyższonych uprawnień na moim komputerze, jednym z serwerów lub komputerze innego użytkownika.

Jaka jest tutaj najlepsza praktyka? Czy administratorzy sieci powinni być zalogowani przez cały czas z prawami do całej sieci (a nawet komputera lokalnego)?

Absolutną najlepszą praktyką jest Live User, Work Root . Użytkownik, który jest zalogowany tak, jak podczas odświeżania po awarii serwera co 5 minut, powinien być zwykłym użytkownikiem. Tym, którego używasz do diagnozowania problemów z routingiem Exchange, powinien być Administrator. Uzyskanie takiego rozdzielenia może być trudne, ponieważ przynajmniej w systemie Windows wymaga podwójnych sesji logowania, a to oznacza w jakiś sposób dwa komputery.

• Maszyny wirtualne działają w tym przypadku naprawdę dobrze i tak to rozwiązuję.
• Słyszałem o organizacjach, które ograniczają swoje podwyższone konta do niektórych specjalnych maszyn wirtualnych hostowanych wewnętrznie, a administratorzy polegają na RDP w zakresie dostępu.
• Kontrola konta użytkownika pomaga ograniczyć to, co może zrobić administrator (dostęp do specjalnych programów), ale ciągłe podpowiedzi mogą być tak samo denerwujące, jak konieczność zdalnego dostępu do całej innej maszyny, aby zrobić to, co trzeba.

Dlaczego jest to najlepsza praktyka? Po części dlatego, że tak powiedziałem , podobnie jak wiele innych. SysAdminning nie ma centralnego organu, który określa najlepsze praktyki w jakikolwiek ostateczny sposób. W ostatniej dekadzie opublikowaliśmy kilka najlepszych praktyk w zakresie bezpieczeństwa IT, sugerujących, że używasz podwyższonych uprawnień tylko wtedy, gdy ich potrzebujesz. niektóre z najlepszych praktyk są ustalane na podstawie doświadczeń sysadminów w ciągu ostatnich 40 lat. Artykuł z LISA 1993 ( link ), przykładowy artykuł z SANS ( link , PDF), fragment z krytycznych kontroli bezpieczeństwa SANS dotyka tego ( link ).

Ponieważ jest to domena systemu Windows, prawdopodobnie używane przez nich konta mają pełny dostęp do sieci na wszystkich stacjach roboczych, więc jeśli wydarzy się coś złego, może być w sieci w ciągu kilku sekund. Pierwszym krokiem jest upewnienie się, że wszyscy użytkownicy wykonują codzienną pracę, przeglądają internet, piszą dokumenty itp. Zgodnie z zasadą minimalnego dostępu użytkownika .

Moja praktyka polega na tworzeniu konta domeny i nadawaniu uprawnień administratora tego konta na wszystkich stacjach roboczych (PC-admin) oraz osobnym koncie domeny do pracy administratora serwera (server-admin). Jeśli obawiasz się, że twoje serwery mogą ze sobą rozmawiać, możesz mieć indywidualne konta dla każdego komputera (<x> -admin, <y> -admin). Zdecydowanie spróbuj użyć innego konta do uruchamiania zadań administratora domeny.

W ten sposób, jeśli robisz coś na zaatakowanej stacji roboczej z kontem PC-admin, a korzystanie z uprawnień administratora pozwala próbować uzyskać dostęp do innych komputerów w sieci, nic nie będzie w stanie nic zrobić paskudny dla twoich serwerów. Posiadanie tego konta oznacza również, że nie może on nic zrobić z Twoimi danymi osobowymi.

Muszę jednak powiedzieć, że w jednym miejscu, w którym wiem, gdzie pracownicy pracowali zgodnie z zasadami LUA, nie mieli odpowiedniej infekcji wirusowej przez trzy lata, które widziałem; inny dział w tym samym miejscu, w którym wszyscy z lokalnym administratorem i personelem IT z administratorem serwera miał kilka epidemii, z których jedna zajęła tydzień czasu IT na oczyszczenie z powodu rozprzestrzeniania się infekcji przez sieć.

Konfiguracja zajmuje trochę czasu, ale potencjalne oszczędności są ogromne, jeśli napotkasz problemy.

Oddzielne konta dla oddzielnych zadań to najlepszy sposób, aby na to spojrzeć. Zasada najmniejszego uprzywilejowania to nazwa gry. Ogranicz korzystanie z kont „admin” do zadań, które należy wykonać jako „admin”.

Opinie różnią się nieco między Windows i * nix, ale twoja wzmianka o administratorach domen sprawia, że ​​myślę, że mówisz o Windows, więc w tym kontekście odpowiadam.

Na stacji roboczej zwykle nie powinieneś być administratorem, więc odpowiedź na twoje pytanie w większości przypadków będzie NIE. Istnieje jednak wiele wyjątków i tak naprawdę zależy to od tego, co osoba robi na komputerze.

Na serwerze jest to temat wielu debat. Mój własny pogląd jest taki, że loguję się na serwerze tylko po to, aby wykonywać prace administracyjne, więc po prostu nie ma sensu logować się jako użytkownik, a następnie uruchamiać każde oddzielne narzędzie za pomocą run-as, co szczerze mówiąc zawsze było prawdziwym bólem w przypadku wiesz i co do większości zadań po prostu sprawia, że ​​życie administratora jest zbyt trudne i czasochłonne. Ponieważ większość pracy administratora systemu Windows odbywa się za pomocą narzędzi GUI, poziom bezpieczeństwa nie jest obecny, powiedzmy, administrator Linuksa pracujący w wierszu poleceń, gdzie zwykła literówka może sprawić, że pobiegnie po taśmę z kopii zapasowej zeszłej nocy.

moje życie jest proste ... konta są wyraźnie nazwane i wszystkie mają różne hasła.

God konto - administrator domeny, aby wykonać wszystkie prace po stronie serwera

konto półboga do administrowania komputerami - nie ma praw do udziałów / serwerów - tylko do komputerów

słaby użytkownik - przyznam sobie uprawnienia użytkownika na własnym komputerze, ale nie mam nawet tych praw na innych komputerach

powodów oddzielenia jest wiele. nie powinno być żadnych argumentów, po prostu zrób to!

Ryzykując głosowanie w piekle, muszę powiedzieć, że zależy to od przepływu pracy administratora. Dla mnie osobiście zdecydowana większość rzeczy, które robię na stacji roboczej podczas pracy, będą wymagały poświadczeń administratora. Masz wbudowane funkcje, takie jak narzędzia do zarządzania domenami, zewnętrzne konsole zarządzania, zmapowane dyski, narzędzia do zdalnego dostępu z wiersza poleceń, skrypty itp. Lista jest długa. Konieczność wpisywania poświadczeń dla prawie każdej otwieranej rzeczy byłaby koszmarem.

O jedynych rzeczach, które zwykle nie potrzebują uprawnień administratora, to moja przeglądarka internetowa, klient poczty e-mail, klient wiadomości błyskawicznych i przeglądarka plików PDF. I większość tych rzeczy pozostaje otwarta od momentu zalogowania do wylogowania. Więc loguję się przy użyciu poświadczeń administratora, a następnie uruchamiam Wszystkie moje aplikacje z niskim poziomem dostępu prywatnego z kontem o niskim poziomie dostępu. To o wiele mniej kłopotów i nie czuję się mniej bezpieczny.