Buruk login sebagai admin sepanjang waktu?

20

Di kantor tempat saya bekerja, tiga anggota staf TI lainnya masuk ke komputer mereka setiap saat dengan akun yang merupakan anggota grup administrator domain.

Saya memiliki masalah serius tentang login dengan hak admin (baik lokal atau untuk domain). Karena itu, untuk penggunaan komputer sehari-hari, saya menggunakan akun yang hanya memiliki hak pengguna biasa. Saya juga memiliki akun berbeda yang merupakan bagian dari grup admin domain. Saya menggunakan akun ini ketika saya perlu melakukan sesuatu yang memerlukan hak istimewa tinggi di komputer saya, salah satu server, atau di komputer pengguna lain.

Apa praktik terbaik di sini? Haruskah admin jaringan login dengan hak ke seluruh jaringan sepanjang waktu (atau bahkan komputer lokal mereka dalam hal ini)?

windows security best-practices

— menyodok
sumber

Saya selalu berpikir itu bodoh. Saya tidak pernah mendengar satu alasan bagus untuk melakukan itu. Mungkin memberikan akun terbatas kepada orang tua di windows tetapi kita berbicara tentang penggunaan akun kita

Pernah punya anak berkeliaran mengklik barang-barang di PC mereka? Bagaimana kalau secara tidak sengaja menghapus berbagi data utama alih-alih folder mp3 Anda.

— Barfieldmv

1

seseorang tolong tambahkan tag "windows" untuk pertanyaan ini

— JoelFan

@Barfieldmv, pertanyaan ini adalah tentang lingkungan kerja, bukan PC di ruang Anda. Anak-anak tidak boleh berada di dekat situ dan penghapusan yang tidak disengaja dapat dipulihkan dari cadangan.

— John Gardeniers

36

Praktik terbaik mutlak adalah untuk Pengguna Langsung, Rooting Kerja . Pengguna yang Anda masuki seperti ketika Anda menekan refresh pada Server Fault setiap 5 menit harus menjadi pengguna normal. Yang Anda gunakan untuk mendiagnosis masalah routing Exchange haruslah Admin. Mendapatkan pemisahan ini bisa sulit, karena di Windows setidaknya memerlukan dua sesi login dan itu berarti dua komputer dalam beberapa cara.

VM bekerja sangat baik untuk ini, dan itulah cara saya menyelesaikannya.
Saya pernah mendengar tentang organisasi yang membatasi login akun mereka pada VM khusus tertentu yang dihosting secara internal, dan admin mengandalkan RDP untuk akses.
UAC membantu membatasi apa yang dapat dilakukan oleh admin (mengakses program khusus), tetapi permintaan yang terus menerus bisa sama menjengkelkannya dengan harus jauh ke mesin lain untuk melakukan apa yang perlu dilakukan.

Mengapa ini merupakan praktik terbaik? Sebagian karena saya bilang begitu , dan begitu juga banyak yang lain. SysAdminning tidak memiliki badan pusat yang menetapkan praktik terbaik dengan cara apa pun yang pasti. Dalam dekade terakhir kami telah menerbitkan beberapa praktik terbaik Keamanan TI yang menunjukkan bahwa Anda hanya menggunakan privat yang ditinggikan saat Anda benar-benar membutuhkannya. beberapa praktik terbaik ditetapkan melalui gestalt pengalaman oleh sysadmin selama 40+ tahun terakhir. Sebuah makalah dari LISA 1993 ( tautan ), sebuah makalah contoh dari SANS ( tautan , PDF), bagian dari sentuhan kritis kontrol keamanan SANS mengenai hal ini ( tautan ).

— sysadmin1138
sumber

6

Perhatikan bahwa pada Windows 7 akun Administrator jauh lebih terbatas dan tidak memerlukan sesi login ganda. UAC bekerja dengan sangat baik. Ini bekerja kurang signifikan di Vista.

— Ricket

6

@Ricket, saya tidak setuju dengan komentar tentang UAC, setidaknya untuk admin. Saya telah mematikannya di workstation saya karena hampir setiap perangkat lunak yang saya gunakan menyebabkan UAC meminta saya untuk izin. Itu sangat menjengkelkan dan memperlambat saya begitu banyak hal positifnya jauh lebih besar daripada yang negatif. Untuk bekerja "dengan cukup baik", seperti yang Anda katakan, kita harus dapat mengatakannya untuk selalu mengizinkan atau melarang perangkat lunak tertentu, tetapi tentu saja itu tidak fleksibel. Sederhananya, ini merupakan upaya yang belum matang dan dianggap buruk pada apa yang suatu hari nanti bisa menjadi komponen keamanan yang berharga.

— John Gardeniers

1

^ Perhatikan artikel TechNet yang tertaut dalam komentar di atas sudah tua, ditulis sebelum Vista (karena merujuk pada nama kode, "Longhorn"). Tetapi untuk pengguna XP itu sangat valid. @ John Saya kira jarak tempuh setiap orang berbeda-beda, tetapi saya tidak pernah mendapatkan popup UAC dan saya menggunakan sedikit perangkat lunak. Satu-satunya pengecualian adalah installer (duh) dan Java updater yang mengganggu. Vista jauh lebih buruk, jadi jika Anda belum mencoba UAC sejak Windows 7, saya pasti merekomendasikan untuk menyalakannya kembali, kalau tidak saya kira Anda hanya menggunakan perangkat lunak yang sudah usang / ditulis dengan buruk. Tidak mungkin hampir setiap bagian dari perangkat lunak meminta izin admin ...

— Ricket

1

@Ricket, kami jelas menggunakan perangkat lunak yang sangat berbeda. Saya kira kita juga melakukan tugas yang sangat berbeda. Hanya karena perangkat lunak yang Anda gunakan tidak memicu UAC tidak berarti itu berlaku untuk perangkat lunak yang digunakan oleh orang lain. Ketika Anda mendapatkan pengalaman, Anda akan mempelajari hal-hal ini. Apa yang saya katakan adalah fakta. Mengapa Anda mempertanyakannya?

— John Gardeniers

1

@Keith Stokes: Apa yang telah Anda lakukan untuk Putty miskin untuk mendapatkannya untuk meminta Anda untuk UAC? Putty tidak perlu elevasi untuk berlari!

— Evan Anderson

12

Karena ini adalah domain Windows, kemungkinan akun yang mereka gunakan memiliki akses jaringan lengkap ke semua workstation, jadi jika sesuatu yang buruk terjadi, ia dapat melintasi jaringan dalam hitungan detik. Langkah pertama adalah memastikan semua pengguna melakukan pekerjaan sehari-hari, menjelajahi web, menulis dokumen, dll. Sesuai dengan prinsip Least User Access .

Praktik saya kemudian membuat akun domain dan memberikan hak istimewa admin akun itu di semua workstation (PC-admin), dan akun domain terpisah untuk pekerjaan admin server (server-admin). Jika Anda khawatir server Anda dapat berbicara satu sama lain, Anda dapat memiliki masing-masing akun untuk setiap mesin (<x> -admin, <y> -admin). Pasti mencoba menggunakan akun lain untuk menjalankan pekerjaan admin domain.

Dengan begitu, jika Anda melakukan sesuatu pada workstation yang dikompromikan dengan akun PC-admin, dan itu mengambil kesempatan Anda memiliki hak admin untuk mencoba mendapatkan di komputer lain melalui jaringan, itu tidak akan bisa melakukan apa pun jahat ke server Anda. Memiliki akun ini juga berarti tidak dapat melakukan apa pun terhadap data pribadi Anda.

Saya harus mengatakan, bahwa di satu tempat saya tahu di mana staf bekerja dengan prinsip-prinsip LUA, mereka tidak memiliki serangan virus yang tepat selama tiga tahun yang saya lihat; departemen lain di tempat yang sama yang memiliki semua orang dengan admin lokal dan staf TI dengan admin server mengalami beberapa wabah, yang salah satunya membutuhkan waktu satu minggu untuk membersihkan karena penyebaran infeksi melalui jaringan.

Memang perlu waktu untuk menyiapkan, tetapi potensi penghematan sangat besar jika Anda dilanda masalah.

— Iain Hallam
sumber

Saya berperilaku seperti ini, dan menggunakan akun domain untuk pekerjaan sehari-hari saya, dan naik ke akun domain admin istimewa saya ketika saya perlu. Rekan kerja saya yang lain menertawakan saya, dan saya tidak sabar untuk melihat stasiun kerja mereka memengaruhi sesuatu dengan cara yang tidak menyenangkan sehingga saya bisa mengatakan saya sudah mengatakannya kepada Anda.

— songei2f

1

Akun terpisah untuk tugas terpisah adalah cara terbaik untuk melihatnya. Prinsip yang paling tidak disukai adalah nama permainan. Batasi penggunaan akun "admin" untuk tugas yang harus dilakukan sebagai "admin".

— Liam
sumber

1

Pendapat agak berbeda antara Windows dan * nix tetapi penyebutan Anda tentang admin domain membuat saya berpikir Anda berbicara tentang Windows, jadi itulah konteks yang saya jawab.

Di workstation biasanya Anda tidak perlu menjadi admin, jadi jawaban untuk pertanyaan Anda dalam kebanyakan kasus adalah TIDAK. Namun, ada banyak pengecualian dan itu benar-benar bergantung pada apa yang dilakukan orang tersebut di mesin.

Di server itu adalah topik banyak perdebatan. Pandangan saya sendiri adalah bahwa saya hanya masuk ke server untuk melakukan pekerjaan admin, jadi tidak masuk akal untuk masuk sebagai pengguna dan kemudian menjalankan setiap alat terpisah menggunakan run-as, yang terus terang selalu menjadi masalah nyata. dalam Anda-tahu-apa dan untuk sebagian besar pekerjaan itu hanya membuat hidup admin terlalu sulit dan memakan waktu. Karena sebagian besar pekerjaan Windows admin dilakukan dengan menggunakan alat GUI ada tingkat keamanan yang tidak hadir untuk mengatakan admin Linux bekerja pada baris perintah, di mana kesalahan ketik sederhana dapat mengirimnya bergegas untuk tape backup semalam.

— John Gardeniers
sumber

+1, "Apa yang Anda login sebagai pada server" ADALAH fokus utama dari perdebatan.

— sysadmin1138

1

hidupku sederhana ... akun itu diberi nama berbeda, dan semuanya memiliki kata sandi yang berbeda.

Akun Tuhan - admin domain untuk melakukan semua pekerjaan sisi server

akun demigod untuk mengelola PC - tidak memiliki hak untuk dibagikan / server - hanya untuk PC

lemah pengguna - saya memberi saya kekuatan pengguna di pc saya sendiri, tetapi saya bahkan tidak memiliki hak-hak itu di PC lain

alasan pemisahan itu banyak. seharusnya tidak ada argumen, lakukan saja!

— cwheeler33
sumber

Saya suka pemisahan hak istimewa di tiga tingkat, tetapi membuat orang lain mempraktikkan apa yang Anda khotbahkan pastilah sakit kepala.

— songei2f

Ini bisa menjadi penjualan yang sulit di beberapa lingkungan. Tetapi jika Anda dapat membuktikan diri kepada pembuat kebijakan, maka mereka akan membantu Anda menjadikannya kebijakan yang diikuti. Tidak ada Exec yang mau kehilangan perusahaan mereka ketika ada solusi yang gratis dan sederhana.

— cwheeler33

Anda lupa # 4: mengaudit pengguna yang log dewa, yang mana terlepas dari semua akun lainnya. Jadi, jika beberapa peretas membuat dewa Anda menjadi pembalas dendam, Anda tahu bagaimana itu terjadi.

— Parthian Shot

0

Dengan risiko turun memilih ke neraka, saya harus mengatakan itu tergantung pada alur kerja admin. Bagi saya pribadi, sebagian besar hal yang saya lakukan di workstation saya sementara di tempat kerja akan membutuhkan kredensial admin tersebut. Anda memiliki perangkat bawaan seperti alat manajemen domain, konsol manajemen pihak ke-3, drive yang dipetakan, alat akses jarak jauh baris perintah, skrip, dll. Daftarnya terus berjalan. Harus mengetikkan kredensial untuk hampir setiap hal yang Anda buka akan menjadi mimpi buruk.

Satu-satunya hal yang biasanya tidak memerlukan admin priv adalah browser web saya, klien email, klien IM, dan penampil PDF. Dan sebagian besar dari hal-hal itu tetap terbuka sejak saya masuk ke waktu saya keluar. Jadi saya masuk dengan kredensial admin saya dan kemudian saya menjalankan semua aplikasi priv saya yang rendah dengan akun priv yang rendah. Ini jauh lebih mudah dan saya tidak merasa kurang aman untuk melakukannya.

— Ryan Bolger
sumber

berjalan seperti dengan priv rendah benar-benar tidak berbuat banyak untuk keamanan karena sistem sudah berjalan dengan akun admin. Anda telah memberikan diri Anda rasa aman yang salah. Lakukan sebaliknya, login sebagai pengguna, lalu jalankan sebagai admin. Beri diri Anda kekuatan pengguna untuk login Anda jika Anda TETAPI, JANGAN MENJALANKAN SEBAGAI ADMIN.

— Liam

+1 Seperti yang saya katakan dalam jawaban saya, "itu benar-benar tergantung pada apa yang dilakukan orang itu di mesin". Terlepas dari semua teori dan apa yang disebut "praktik terbaik" ada kalanya tidak masuk akal untuk masuk sebagai pengguna. Setidaknya tidak di dunia Windows.

— John Gardeniers

Saya cukup yakin tidak ada hak pengguna daya di windows 7. goo.gl/fqYbb

— Luke99

@Liam Jangan tersinggung, tetapi Anda salah mengatakan bahwa RunA dengan priv rendah tidak banyak membantu. Itu melakukan persis apa yang seharusnya dilakukan yang mencegah proses tertentu (dan anak-anaknya) dari melakukan sesuatu dengan hak istimewa yang tinggi. Dan ini sangat cocok untuk aplikasi yang tidak memerlukan privs yang lebih tinggi dan umumnya cenderung paling ditargetkan oleh malware.

— Ryan Bolger