Ventajas e inconvenientes de darle a un administrador dos cuentas por derechos elevados y otra para uso diario, como el correo electrónico

Navega tus respuestas
12

Microsoft ha promovido durante mucho tiempo la necesidad de separar las cuentas administrativas de las cuentas de uso regular, como se muestra con esta guía

MSFT incluso fue tan lejos como para crear los derechos ADMINSDUser para colocar cuentas administrativas en un "clase" separada de las cuentas regulares. Intencionalmente hicieron difícil ser tanto un "Administrador" como un usuario de Sincronización activa

Estoy seguro de que ninguna de estas decisiones de diseño con respecto a la separación de tareas administrativas se tomaron a la ligera o sin el aporte de varias personas inteligentes.

Mi pregunta es:

  
  1. ¿Qué malos hábitos puede hacer un administrador para cancelar el beneficio?   de tener cuentas duales?
    • es decir: revisar el correo electrónico
      •   
    • navegación casual por Internet, en lugar de navegar por Internet para solucionar problemas, diagnosticar o validar un problema
      •   
    2.   
  2. ¿De qué nos estamos protegiendo?   
    • Si un administrador sabe que puede estar visitando un sitio web hostil, probablemente sean lo suficientemente inteligentes como para que estén probando esto en una red / máquina aislada
      •   
    • Los administradores generalmente no son engañados para ejecutar scripts, o código hostil (ActiveX) que otros usuarios pueden estar
      •   
    3.   

Supongamos que el trabajo diario de una persona es la administración, y se ocupa principalmente de solucionar problemas utilizando sus credenciales privilegiadas. Parece contraproducente e improductivo pedirles que ejecuten "RunAs" para cada nueva tarea.

Llevando la última idea un paso más allá, tal vez sería mejor ejecutar RunAs para tareas no administrativas, como correo electrónico, archivos y servicios de impresión, etc. Tal vez deberían usar una máquina virtual, VDI, etc. para revisar el correo electrónico y actualizar los diagramas de red (etc).

  

3. ¿Tiene sentido que un administrador use sus credenciales privilegiadas para iniciar sesión en su PC y usar RunAs para tareas no administrativas?

    
pregunta random65537 22.09.2011 - 23:25
fuente

2 respuestas

8

Navegar por Internet es un riesgo para una organización. Por lo general, esto se mitiga hasta cierto punto al tener una funcionalidad limitada para los usuarios, por lo que un exploit está limitado en lo que puede hacer. Cuando un administrador está navegando, su cuenta no está limitada, por lo que un exploit puede tener importantes consecuencias.

  

Si un administrador sabe que puede estar visitando un sitio web hostil,   probablemente son lo suficientemente inteligentes como para probar esto en una   red / máquina aislada

Lamentablemente, esto no es cierto, los administradores también son personas

  

Los administradores generalmente no son engañados para ejecutar scripts, u hostiles   código (ActiveX) que otros usuarios pueden ser

Ya hay ataques por ahí que no requieren más interacción que la navegación a un sitio web, y como dije, los administradores también son personas (en su mayoría)

  

Supongamos que el trabajo diario de una persona es la administración y se ocupa principalmente   con la resolución de problemas utilizando sus credenciales privilegiadas. Parece   contraproducente e improductivo para pedirles "RunAs" para cada nuevo   tarea.

Para esto, podría argumentar el caso de la separación por máquina, en lugar de por cuenta, es decir, todas las tareas de administración se llevan a cabo en una máquina de administración que no se puede conectar a Internet, etc., y las tareas de tipo de usuario son Realizado sobre otro que puede.

  

Llevando la última idea un paso más allá, tal vez sería mejor   Ejecutar como tareas no administrativas, como correo electrónico, archivo e impresión   servicios, etc. ¿Tiene sentido que un administrador use sus credenciales privilegiadas para iniciar sesión en su PC y usar RunAs para tareas no administrativas?

RunAs downward es solo susceptible de que el administrador lo olvide, o simplemente quiera hacer algo rápida y fácilmente.

    
respondido por el Rory Alsop 23.09.2011 - 12:35
fuente
3

Creo que si no tienes nada más en mente, tienes esa separación lógica, un recordatorio constante de que no debes ser más cauto con tu cuenta de administrador. Los usuarios privilegiados están lejos de ser invulnerables a los ataques.

Si tiene un laboratorio aislado para probar sitios o aplicaciones que no están aprobadas o podría aumentar la exposición de su organización ... si no es increíblemente fácil de hacer, no se hace de esa manera.

No tiene sentido permanecer conectado con su cuenta privilegiada debido a la naturaleza humana. ¿Cuánto tiempo pasaría antes de que deje de degradar aquellos procesos que no requieren esos privilegios elevados?

    
respondido por el M15K 23.09.2011 - 03:55
fuente

Lea otras preguntas en las etiquetas

httpoxy: ¿TLS / SSL mitiga la vulnerabilidad del encabezado de proxy HTTP? ¿Cuáles son las ventajas / desventajas del control de acceso basado en atributos?