É arriscado (e quanto) permitir o controle total da pasta do sistema?

Question

Qual é o risco de permitir o controle total de um administrador para a pasta do sistema? O que eu realmente preciso é editar o arquivo host na pasta System32 para que eu preciso para permitir o controle total de um administrador para a pasta do sistema?

Esta mensagem diz que isso pode reduzir a segurança do sistema:

    

Answer 1

Endereçando sua captura de tela, é totalmente normal que o grupo de administradores tenha controle total

Na prática, os Admins são os únicos usuários que devem ser atribuídos ao grupo "Administrador", eles geralmente são pessoas nas quais a empresa confia e paga bem para manter tudo funcionando.

Atribuir apenas pessoas confiáveis, ou seja, administradores de sistemas ou alguns desenvolvedores confiáveis a esse grupo, é totalmente normal e seguro.

Se todos os membros médios da empresa estiverem nesse grupo, isso pode causar grandes problemas. Se esse for o caso, eu recomendo alterá-lo imediatamente. Caso contrário, seus servidores / rede podem estar infectados com malware de algum usuário que fez o download. arquivos formam o site errado.

Eu recomendaria assistir alguns desses vídeos para entender melhor os usuários, grupos e permissões

Criando e administrando grupos no Active Directory no Windows Server 2012 link

Introdução às permissões de arquivo e compartilhamento no Windows Server 2012 link

Criando e administrando contas de usuário no Active Directory no Windows Server 2012 link

    

Answer 2

Para resolver o problema especificamente do arquivo hosts ... tudo o que você precisa fazer é executar o Bloco de notas elevado e usar Arquivo- > Abrir para editá-lo. Você não pode simplesmente clicar duas vezes nele a partir de uma janela do Explorer. Esse arquivo em particular está bloqueado.

Afora isso, as permissões padrão nos diretórios \Windows e \Program Files são realmente específicas e há alguns truques de ACL que são muito difíceis de serem restaurados caso você vá alterando as permissões. Você vê isso nas configurações avançadas; muitas permissões especiais foram aplicadas em diferentes níveis. Você nunca deve alterar as permissões nos diretórios do sistema operacional ou na raiz da unidade C :. Isso causará alguns problemas sérios que você só poderá reverter descartando um Cont Control completo em algum lugar. que realmente tornará a situação de segurança pior do que era para começar.

Se o UAC estiver ativado (o que você realmente não deve desativá-lo sem um motivo específico), o Windows fornece proteções adicionais para os diretórios \Windows e \Program Files para que até mesmo os administradores não possam gravar arquivos lá sem elevar explicitamente suas credenciais .

Se você achar que a segurança no sistema é muito permissiva, você deve abordar os privilégios de acesso dos usuários em vez de tentar modificar as permissões do diretório.