É ruim estar logado como admin o tempo todo?

Question

No escritório em que trabalho, três dos outros membros da equipe de TI estão conectados em seus computadores o tempo todo com contas que são membros do grupo de administradores de domínio.

Tenho sérias preocupações sobre estar logado com direitos de administrador (local ou para o domínio). Como tal, para o uso diário do computador, eu uso uma conta que tem privilégios normais de usuário. Eu também tenho uma conta diferente que faz parte do grupo de administradores de domínio. Eu uso essa conta quando preciso fazer algo que exija privilégios elevados no meu computador, em um dos servidores ou no computador de outro usuário.

Qual é a melhor prática aqui? Os administradores de rede devem estar logados com direitos a toda a rede o tempo todo (ou até mesmo o computador local)?

    

Answer 1

A melhor prática recomendada é Live User, Work Root . O usuário com o qual você efetuou login quando acertar a atualização na Falha do servidor a cada 5 minutos deve ser um usuário normal. O que você usa para diagnosticar problemas de roteamento do Exchange deve ser Admin. Conseguir essa separação pode ser difícil, já que no Windows, pelo menos, exige duas sessões de login e isso significa dois computadores de alguma forma.

• As VMs funcionam muito bem para isso e é assim que eu resolvo isso.
• Ouvi falar de organizações que restringem o login de suas contas elevadas a determinadas VMs hospedadas internamente, e os administradores confiam no RDP para acesso.
• O UAC ajuda a limitar o que um administrador pode fazer (acessando programas especiais), mas os prompts contínuos podem ser tão irritantes quanto ter que se conectar remotamente a outra máquina para fazer o que é necessário fazer.

Por que essa é uma prática recomendada? Em parte, é porque eu disse , e muito outras. O SysAdminning não possui um corpo central que defina as melhores práticas de qualquer forma definitiva. Na última década, publicamos algumas práticas recomendadas de segurança de TI, sugerindo que você só usa privs elevados quando realmente precisa deles. Algumas das melhores práticas são definidas através da gestalt da experiência dos administradores de sistemas nos últimos 40 anos. Um artigo da LISA 1993 ( link ), um exemplo de documento da SANS (< um href="http://www.sans.org/reading_room/whitepapers/basics/administration-shared-accounts_1271"> link , um PDF), uma seção dos controles de segurança críticos da SANS toca nisso ( link ).

    

Answer 2

Como esse é um domínio do Windows, é provável que as contas que eles estão usando tenham acesso total à rede a todas as estações de trabalho. Assim, se algo ruim acontecer, a rede poderá ficar em toda a rede em segundos. O primeiro passo é garantir que todos os usuários estejam trabalhando no dia-a-dia, navegando na web, escrevendo documentos, etc., de acordo com o princípio de Menor acesso de usuário .

Minha prática é criar uma conta de domínio e conceder privilégios de administrador a essa conta em todas as estações de trabalho (PC-admin) e uma conta de domínio separada para o trabalho administrativo do servidor (servidor-admin). Se você estiver preocupado com a possibilidade de seus servidores conversarem entre si, você poderá ter contas individuais para cada máquina (< x > -admin, < y > -admin). Definitivamente, tente usar outra conta para executar os trabalhos de administração de domínio.

Dessa forma, se você está fazendo algo em uma estação de trabalho comprometida com a conta PC-admin, e se tiver a chance de ter privilégios de administrador para tentar acessar outras máquinas pela rede, não será possível fazer qualquer coisa desagradável com seus servidores. Ter esta conta também significa que não pode fazer nada com seus dados pessoais.

Devo dizer, no entanto, que em um lugar eu sei onde a equipe trabalhou com os princípios do LUA, eles não tiveram uma infestação de vírus adequada durante os três anos que eu vi; outro departamento no mesmo local que tinha todos os administradores locais e a equipe de TI com o administrador do servidor teve vários surtos, um dos quais levou uma semana de tempo de TI para limpar devido à disseminação da infecção pela rede.

Demora algum tempo para configurar, mas as economias potenciais são enormes se você tiver problemas.

    

Answer 3

Contas separadas para tarefas separadas é a melhor maneira de analisá-las. Princípio do menor privilégio é o nome do jogo. Limite o uso de contas "admin" para as tarefas que precisam ser feitas como "admin".

    

Answer 4

As opiniões diferem um pouco entre o Windows e o * nix, mas sua menção aos administradores de domínio me faz pensar que você está falando sobre o Windows, então esse é o contexto em que estou respondendo.

Em uma estação de trabalho, você normalmente não precisa ser administrador, então a resposta para a sua pergunta na maioria dos casos será NO. No entanto, há muitas exceções e realmente depende exatamente do que a pessoa está fazendo na máquina.

Em um servidor é um tópico de muito debate. Minha opinião é que eu só faço logon em um servidor para fazer o trabalho administrativo, então não faz sentido fazer logon como usuário e depois executar cada ferramenta separada usando run-as, o que francamente sempre foi uma verdadeira dor no you-know-what e para a maioria dos trabalhos, isso simplesmente torna a vida de um administrador excessivamente difícil e demorada. Como a maior parte do trabalho de administração do Windows é feito com ferramentas GUI, há um grau de segurança que não está presente para um administrador Linux trabalhando na linha de comando, onde um erro de digitação simples poderia fazer com que ele corresse pela fita de backup da noite anterior.

    

Answer 5

minha vida é simples ... a conta é distintamente nomeada e todas têm senhas diferentes.

Conta de Deus - administrador de domínio para fazer todo o trabalho do lado do servidor

conta de semideus para administrar o PC - não tem direitos a compartilhamentos / servidores - somente para o PC

usuário fraco - eu concedo a mim mesmo power user no meu próprio pc, mas eu nem tenho esses direitos em outros PCs

as razões para a separação são muitas. não deve haver discussão, apenas faça!

    

Answer 6

Correndo o risco de ser votado para o inferno, devo dizer que depende do fluxo de trabalho do administrador. Para mim, pessoalmente, a grande maioria das coisas que estou fazendo em minha estação de trabalho durante o trabalho precisará dessas credenciais de administrador. Você tem recursos internos como ferramentas de gerenciamento de domínio, consoles de gerenciamento de terceiros, unidades mapeadas, ferramentas de acesso remoto de linha de comando, scripts, etc. A lista continua. Ter que digitar credenciais para quase todas as coisas que você abrir seria um pesadelo.

As únicas coisas que normalmente não precisam de admins privs são meu navegador da web, o cliente de email, o cliente de mensagens instantâneas e o visualizador de PDF. E a maioria dessas coisas permanece aberta desde o momento em que faço o login até a hora em que saio. Então, faço login com minhas credenciais de administrador e, em seguida, executo todos os meus aplicativos priv baixos com uma conta privativa baixa. É muito menos incómodo e não me sinto menos seguro para o fazer.