É melhor ter login separado para um domínio para administradores de domínio?

Question

Eu normalmente gosto de configurar logins separados para mim, um com permissões de usuário regulares e um separado para tarefas administrativas. Por exemplo, se o domínio fosse XXXX, eu configuraria uma conta XXXX \ bpeikes e uma XXXX \ adminbp. Eu sempre fiz isso porque, francamente, eu não confio em mim mesmo para fazer login como administrador, mas em todos os lugares em que trabalhei, os administradores do sistema parecem apenas adicionar suas contas usuais ao grupo Admins. Do Domínio.

Existe alguma prática recomendada? Eu vi um artigo do MS que parece dizer que você deve usar o Run As, e não o login como administrador, mas eles não dão um exemplo de uma implementação e eu nunca vi ninguém fazer isso. / p>     

Answer 1

"Prática recomendada" geralmente determina o LPU (usuário menos privilegiado) ... mas você está correto (como é o caso de ETL e Joe, de modo +1) que as pessoas raramente seguem esse modelo.

A maioria das recomendações é fazer o que você diz ... criar duas contas e não compartilhar essas contas com outras pessoas. Uma conta não deve ter direitos de administrador nem mesmo na estação de trabalho local que você está usando em teoria, mas novamente quem segue essa regra, especialmente com o UAC atualmente (o que em teoria deveria ser ativado).

Existem vários fatores no motivo pelo qual você deseja seguir esse caminho. Você tem que fatorar segurança, conveniência, política de corporaçõs, restrições regulatórias (se houver), risco, etc.

Manter os grupos de níveis de domínio Domain Admins e Administrators agradáveis e limpos com contas mínimas é sempre uma boa ideia. Mas não compartilhe simplesmente contas de administrador de domínio comuns se puder evitá-lo. Caso contrário, existe o risco de alguém fazer alguma coisa e, em seguida, apontar entre sysadmins de "não fui eu quem usou essa conta". É melhor ter contas individuais ou usar algo como o CyberArk EPA para fazer a auditoria corretamente.

Além disso, nessas linhas, o grupo Schema Admins deve estar sempre VAZIO, a menos que você esteja fazendo uma alteração no esquema e, em seguida, coloque a conta, faça a alteração e remova a conta. O mesmo poderia ser dito para Enterprise Admins especialmente em um modelo de domínio único.

Você também NÃO deve permitir contas privilegiadas para VPN na rede. Use uma conta normal e, em seguida, eleve conforme necessário, uma vez dentro dela.

Finalmente, você deve usar o SCOM ou Netwrix ou algum outro método para auditar qualquer grupo privilegiado e notificar o grupo apropriado em TI sempre que algum desses membros do grupo for alterado. Isso vai lhe dar um aviso para dizer "espere um minuto, por que é tão e tão de repente um administrador de domínio?" etc.

No final do dia, há uma razão pela qual é chamada de "Melhor Prática" e não "Única Prática" ... há escolhas aceitáveis feitas por grupos de TI com base em suas próprias necessidades e filosofias sobre isso. Alguns (como Joe disse) são simplesmente preguiçosos ... enquanto outros simplesmente não se importam porque não estão interessados em tapar uma falha de segurança quando já existem centenas e incêndios diários para combater. No entanto, agora que você leu tudo isso, considere-se um dos que lutará contra o bom combate e faça o que puder para manter as coisas seguras. :)

Referências:

link

link

link

    

Answer 2

AFAIK, é considerada prática recomendada para administradores de domínio / rede ter uma conta de usuário padrão para fazer logon em sua estação de trabalho para executar tarefas de "usuário" de rotina (email, documentação etc.) e ter uma conta administrativa nomeada possui a associação de grupo apropriada para permitir que eles executem tarefas administrativas.

Esse é o modelo que tento seguir, embora seja difícil de implementar se a equipe de TI existente não estiver acostumada a fazer isso dessa maneira.

Pessoalmente, se eu encontrar uma equipe de TI que seja reticente em seguir nessa direção, sou da opinião de que eles são preguiçosos, inexperientes ou não entendem a prática da administração do sistema.

    

Answer 3

Esta é uma prática recomendada por motivos de segurança. Como outros já mencionaram, isso impede que você faça algo acidentalmente ou que você seja comprometido por navegar na rede. Ele também limita o dano que sua navegação pessoal pode fazer - idealmente, o seu trabalho do dia a dia nem deveria ter privilégios de administrador local, muito menos administração de domínio.

Também é incrivelmente útil contra-atacar Pass the Hash ou token de autenticação do Windows. ( Example ) Um teste de penetração adequado provará isso facilmente. Ou seja, quando um invasor obtém acesso a uma conta de administrador local, ele usa esse poder para migrar para um processo com um token de administrador de domínio. Então eles efetivamente têm esses poderes.

Quanto a um exemplo de pessoas que usam isso, minha empresa sim! (200 pessoas, equipe de 6 pessoas) Na verdade, nossos administradores de domínio têm -THREE- contas. Um para uso diário, um para administração de PC / instalação de software localmente. A terceira é as contas de Administrador de Domínio e usadas exclusivamente para administrar servidores e o domínio. Se quiséssemos ser mais paranóicos / seguros, um quarto provavelmente estaria em ordem.

    

Answer 4

Na minha antiga empresa, insisti que todos os administradores do sistema tivessem 2 contas, ou seja:

• DOMAIN \ st19085
• DOMAIN \ st19085a ("a" para admin)

Os colegas relutaram no início, mas se tornaram uma regra básica, depois que a típica pergunta sobre a ameaça do vírus "recebemos um antivírus" foi desmascarada por um banco de dados de vírus desatualizado ...

• Como você mencionou, o comando RUNAS poderia ser usado (eu costumava ter um script em lote, apresentando um menu personalizado, iniciando tarefas específicas com o comando RUNAS).

• Outra coisa é o uso do Console de Gerenciamento Microsoft , você pode salvar as ferramentas necessárias e inicie-as com um clique com o botão direito do mouse , Executar como ... e sua conta de Administrador do domínio.

• Por último, mas não menos importante, eu costumava lançar um shell do PowerShell como Administrador de Domínio e lançar as coisas que eu precisava de lá.

Answer 5

Eu trabalhei em lugares que fazem isso nos dois sentidos e geralmente preferem ter uma conta separada. Na verdade, é muito mais fácil assim, ao contrário do que os usuários / clientes relutantes de joeqwerty parecem pensar:

Prós de usar sua conta normal, todos os dias, para atividades de administração de domínio: Sim, todas as ferramentas administrativas funcionam na minha estação de trabalho sem runas! W00t!

Contras de usar sua conta normal, todos os dias, para atividades de administração de domínio: Medo. ;) Desktop tech pede-lhe para olhar para uma máquina, porque ele não pode descobrir o que há de errado com isso, você log in, tem um vírus. Desconecte o cabo de rede, mude a senha (em outro lugar). Quando os gerentes perguntam por que você não recebe seu e-mail de trabalho em seu BlackBerry pessoal por meio de seu provedor de celular, é possível explicar que eles armazenam sua senha de DOMÍNIO ADMIN em seus servidores quando você faz isso. Etc., etc. Sua senha altamente privilegiada é usada para coisas como ... webmail, vpn, faça o login nesta página da web. (Ew.) (Para ser justo, minha conta foi bloqueada na página da Web "alterar sua senha", então pelo menos havia isso. Se eu quisesse alterar minha senha LDAP antiga, que a página da Web sincronizava, eu teria que ir para a mesa de um colega de trabalho.)

Prós de usar uma conta diferente para atividades de administrador de domínio: intenção. Essa conta é pretendida para as ferramentas administrativas, etc., e não para e-mail, webmail, vpn, logins de páginas da Web, etc. Portanto, menos medo de que minhas atividades normais de "usuário" exponham todo o domínio a risco.

Contras de usar uma conta diferente para atividades do administrador de domínio: eu tenho que usar runas para ferramentas administrativas. Isso não é tão doloroso.

A versão TL; DR: ter uma conta separada é simplesmente mais fácil. Também é uma prática recomendada, pois é próprio privilégio necessário .

    

Answer 6

O menos seguro deve ser motivo suficiente, mas caso isso não aconteça, considere também que, se você usar uma conta com as mesmas permissões que os usuários, provavelmente terá mais problemas - e poderá depurá-los em sua própria conta também - muitas vezes antes mesmo de vê-los!

Nada pior que um administrador que diz "funciona para mim" e fecha o ticket:)

    

Answer 7

Em toda teoria, é melhor que você não use um logon de administrador para suas atividades do dia a dia. Existem várias razões, como vírus - se você receber um vírus e estiver executando o logon do Admin. De Domínio, o vírus terá uma maneira fácil de acessar sua rede, acesso total! Os possíveis erros são mais fáceis de fazer com certeza, mas não vejo isso como o maior desafio. Se você percorrer seu campus e fizer logon com seu principal administrador, alguém pode estar procurando por sua senha. Todo tipo de coisas assim.

Mas é prático? Acho difícil seguir essa regra, mas gostaria de segui-la.

    

Answer 8

adicionando meus 2 centavos com base na experiência real ..

O conhecimento e a conscientização de que você está usando uma conta de administrador para seu trabalho diário o deixa muito cauteloso com o que você faz. para que você não clique em um email / link ou simplesmente execute qualquer aplicativo sem verificação tripla. Eu acho que isso mantém você em pé.

usar uma conta com menos privilégios para o seu trabalho diário faz com que alguém seja descuidado.