Windows 7: Benefícios de uma conta de usuário padrão com o UAC ativo em uma única configuração de usuário?

Question

Tenho feito pesquisas nos últimos dias para encontrar a melhor maneira de configurar contas de usuário seguras no Windows 7. Aprendi algumas coisas novas sobre o UAC (controle de conta de usuário) e AAM (modo de aprovação de administrador), mas existem ainda restam algumas perguntas. A seguir, apresentarei o que sei sobre esse assunto (ou pelo menos o que penso que conheço), seguido das minhas perguntas restantes.

Primeiro, o sistema em questão é um PC de usuário único com o usuário tendo acesso aos direitos de administrador. Na maioria das vezes, é aconselhável criar uma conta de administrador e um usuário separado. Mas, ao ler como o UAC e o AAM funcionam, parece haver poucos ou nenhum benefício de segurança para essa abordagem - pelo menos para a configuração pretendida.

Ao fazer login em uma conta de administrador, dois tokens de acesso são criados - um com direitos restritos e outro com direitos de administrador. Em geral, o administrador sempre usará os mesmos direitos restritos de um usuário padrão. Somente quando ele quer realizar uma ação para a qual esses direitos não são suficientes, o sistema pede que ele confirme suas ações. Só então seus direitos serão elevados para direitos de administrador e somente para essa tarefa. Esse comportamento é semelhante ao que um usuário padrão experimentaria com três diferenças específicas, que levam as pessoas a afirmarem que trabalhar com uma conta de administrador é menos seguro:

• O usuário administrador verá apenas uma caixa de diálogo de confirmação, ele terá que clicar, enquanto o usuário padrão terá que digitar uma senha para elevar seus direitos. Mas isso pode ser alterado para que o usuário administrador precise inserir uma senha também [no registro ou no editor de políticas].
• Várias ações (por exemplo, iniciar alguns aplicativos confiáveis da Microsoft) não provocam a caixa de diálogo de confirmação quando você faz login como usuário administrador. Novamente, isso pode ser alterado para o usuário administrador também [nas configurações normais do usuário].
• Por fim, e mais importante, as contas de administrador e usuário separadas têm áreas separadas para seus arquivos, entradas de registro, etc. Assim, se algo mal-intencionado for introduzido ao trabalhar com direitos restritos (por exemplo, um executável em um diretório temporário, associações de arquivos alteradas, etc.), ele estará localizado em um contexto diferente quando o usuário padrão solicitar e receber direitos elevados e não mesmo contexto de quando um usuário administrador solicita direitos elevados.

Os dois primeiros problemas são, na verdade, não-problemas, pois podem ser configurados para funcionar exatamente da mesma maneira para um usuário padrão e para um usuário administrador. É a terceira questão que me fez pensar. Isso realmente cria uma configuração com contas de administrador e usuário separadas mais segura do que uma única conta de administrador? Assim que os direitos elevados são concedidos, tudo armazenado em qualquer espaço de usuário é acessível e executável. Assim, mesmo quando um usuário padrão solicita direitos elevados e os recebe e agora está trabalhando no contexto da conta de administrador, o código malicioso de seu contexto original pode ser acessado e executado sem mais avisos.

Então, para me levar de volta às minhas perguntas: na configuração apresentada, usar uma única conta de administrador é tão segura quanto usar uma conta de administrador e usuário separada, desde que você altere o nível de notificação para o máximo e exija uma senha para obter direitos elevados ? A única diferença entre as duas configurações seria as áreas de arquivo / entradas de registro separadas. Mas, até onde sei, isso não traria mais segurança. Ou estou errado em minha suposição?

    

Answer 1

Na minha configuração, o UAC é definido para sempre negar a elevação para contas padrão; não pede senhas, apenas nega sempre. A diferença entre contas padrão e contas de administrador com essa configuração é que não há chance de cometer um erro. E é mais trabalho fazer com que esse malware seja executado: você precisa copiá-lo para downloads públicos, fazer login como administrador e depois executá-lo.

Dito isto, os malwares são mais inteligentes hoje em dia e alguns não exigem direitos de administrador. Um trojan / ferramenta de acesso remoto (RAT) pode ver sua tela, recuperar seus documentos, ver suas fotos, agendar uma tarefa para enviar todos os seus novos arquivos para o invasor. Tudo isso funciona bem em uma conta padrão. Seu objetivo não é obter direitos de administrador sobre o seu PC. Essa linha de ataque não é abordada pela separação de contas padrão x admin. E você precisa de proteção extra.

    

Answer 2

Deixe-me fornecer uma explicação simples para os direitos administrativos no Windows. Por padrão, quando você configura sua primeira conta de usuário, ela será atribuída ao grupo Administradores. Para a criação subseqüente da Conta de Usuário, o Windows recomendará que você faça isso como Usuários Padrão, o que significa direitos não administrativos.

Para a primeira conta de usuário, definitivamente está sendo executado no grupo Administradores, mas o diferente é que todos os aplicativos estão sendo executados como Usuários padrão, o que significa que você não precisa de privilégios administrativos para nenhum aplicativo para executar, ler ou gravar , O Windows não fornecerá privilégios administrativos para essa ação. Este modelo está funcionando como Usuários Padrão, que a Microsoft muda de idéia para controlar o uso de privilégios administrativos na conta dos grupos Administradores. Em resumo, quando os aplicativos precisam de permissão administrativa, eles precisam perguntar primeiro antes de obtê-los. O usuário terá o direito de decidir se deve permitir ou negar isso.

Para a segunda conta de usuário, definitivamente ela está sendo executada no grupo Usuários padrão, o que significa que todos os aplicativos estão sendo executados em privilégios não administrativos. Apenas a principal diferença é que você está executando como Usuários Padrão. Quando você precisa de privilégios administrativos, precisa ter um usuário que esteja no grupo Administradores para aprovar a ação para Usuários Padrão. Isso é agido como "Eu peço emprestado suas credenciais administrativas para me ajudar a executar as tarefas". Além disso, vamos supor que o Controle de Conta de Usuário (UAC) esteja desativado. Quando você estiver executando como Usuários Padrão, você não terá chances de pedir credenciais de outras contas Administrativas para aprovar quaisquer ações administrativas, pois todas as ações serão negadas diretamente para obter privilégios administrativos. Essa é a diferença.

Para a parte de malware, vamos simplificar. Se você deixar os bandidos entrarem no seu computador, você vai embora. Se você permitiu que o malware tenha privilégios administrativos, ele terá como não há diferença sobre se estou executando como privilégios administrativos ou usuários padrão, porque eu já tenho os direitos administrativos. Até mesmo o malware mais strong que tenta ignorar o Controle de Conta de Usuário (UAC) também exige direitos administrativos, então você sabe por que o malware pode ser instalado com êxito em um computador? A resposta será apenas: Acidentalmente permitido, cegamente permitido ou vulnerabilidade no Windows.

Por favor, não trate os usuários padrão como sempre seguros para segurança de computação. Essa é apenas outra camada de medidas preventivas que impede que os aplicativos ou softwares mal-intencionados sejam executados em seu computador quando eles precisam de direitos administrativos. Precisamos saber quais apps estão sendo executados em nossos computadores antes de conceder direitos administrativos. Usar aplicativos antimalware para detectar e remover as ameaças também é essencial para manter o computador protegido contra ameaças de malware.