Xấu khi đăng nhập với tư cách quản trị viên mọi lúc?

Tại văn phòng nơi tôi làm việc, ba trong số các thành viên khác của nhân viên CNTT luôn đăng nhập vào máy tính của họ với các tài khoản là thành viên của nhóm quản trị viên tên miền.

Tôi có những lo ngại nghiêm trọng về việc đăng nhập bằng quyền quản trị (địa phương hoặc cho tên miền). Như vậy, đối với việc sử dụng máy tính hàng ngày, tôi sử dụng một tài khoản chỉ có quyền riêng tư của người dùng thông thường. Tôi cũng có một tài khoản khác là một phần của nhóm quản trị viên tên miền. Tôi sử dụng tài khoản này khi tôi cần làm một cái gì đó yêu cầu quyền riêng tư nâng cao trên máy tính của tôi, một trong các máy chủ hoặc trên máy tính của người dùng khác.

Thực hành tốt nhất ở đây là gì? Quản trị viên mạng có nên đăng nhập với quyền đối với toàn bộ mạng mọi lúc (hoặc thậm chí máy tính cục bộ của họ cho vấn đề đó) không?

Thực hành tốt nhất tuyệt đối là Live User, Work Root . Người dùng mà bạn đã đăng nhập như khi bạn nhấn refresh trên Server Fault cứ sau 5 phút sẽ là một người dùng bình thường. Người bạn sử dụng để chẩn đoán các sự cố định tuyến Exchange phải là Quản trị viên. Việc tách biệt này có thể khó khăn, vì trong Windows ít nhất nó yêu cầu các phiên đăng nhập kép và điều đó có nghĩa là hai máy tính theo một cách nào đó.

• Máy ảo hoạt động rất tốt cho việc này và đó là cách tôi giải quyết nó.
• Tôi đã nghe nói về các tổ chức đăng nhập giới hạn tài khoản nâng cao của họ đối với một số máy ảo đặc biệt được lưu trữ nội bộ và quản trị viên dựa vào RDP để truy cập.
• UAC giúp hạn chế những gì quản trị viên có thể làm (truy cập các chương trình đặc biệt), nhưng các lời nhắc liên tục có thể gây khó chịu như phải điều khiển từ xa vào toàn bộ máy khác để làm những gì cần làm.

Tại sao đây là một thực hành tốt nhất? Một phần là vì tôi đã nói như vậy , và nhiều người khác cũng vậy. SysAdminning không có cơ quan trung tâm đặt ra các thực tiễn tốt nhất theo bất kỳ cách thức dứt khoát nào. Trong thập kỷ qua, chúng tôi đã có một số thực tiễn tốt nhất về Bảo mật CNTT được công bố cho thấy rằng bạn chỉ sử dụng quyền riêng tư nâng cao khi bạn thực sự cần chúng. một số thực hành tốt nhất được thiết lập thông qua kinh nghiệm của các sysadins trong hơn 40 năm qua. Một bài viết từ LISA 1993 ( liên kết ), một bài viết ví dụ từ Sans ( liên kết , PDF), một phần từ Sans 'các điều khiển bảo mật quan trọng' chạm vào điều này ( liên kết ).

Vì đây là miền Windows, nên có khả năng các tài khoản họ đang sử dụng có quyền truy cập mạng hoàn chỉnh vào tất cả các máy trạm, vì vậy nếu có điều gì xấu xảy ra, nó có thể xuất hiện trên mạng trong vài giây. Bước đầu tiên là đảm bảo tất cả người dùng đang làm việc hàng ngày, duyệt web, viết tài liệu, v.v. theo nguyên tắc Truy cập người dùng ít nhất .

Cách làm của tôi sau đó là tạo một tài khoản miền và cung cấp đặc quyền quản trị viên tài khoản đó trên tất cả các máy trạm (PC-admin) và một tài khoản miền riêng cho công việc quản trị viên máy chủ (máy chủ-quản trị viên). Nếu bạn lo lắng về việc các máy chủ của bạn có thể nói chuyện với nhau, bạn có thể có các tài khoản riêng cho từng máy (<x> -admin, <y> -admin). Chắc chắn cố gắng sử dụng một tài khoản khác để chạy các công việc quản trị viên tên miền.

Theo cách đó, nếu bạn đang làm gì đó trên máy trạm bị xâm nhập bằng tài khoản quản trị viên PC và nó sẽ có cơ hội có đặc quyền quản trị viên của bạn để thử truy cập vào các máy khác qua mạng, bạn sẽ không thể làm gì khó chịu với máy chủ của bạn. Có tài khoản này cũng có nghĩa là nó không thể làm gì với dữ liệu cá nhân của bạn.

Tuy nhiên, tôi phải nói rằng ở một nơi tôi biết nơi các nhân viên làm việc với các nguyên tắc LUA, họ đã không có sự lây nhiễm virus thích hợp trong suốt ba năm tôi thấy; một bộ phận khác ở cùng nơi có tất cả mọi người có quản trị viên địa phương và nhân viên CNTT có quản trị viên máy chủ đã có một vài đợt bùng phát, một trong số đó mất một tuần thời gian để dọn dẹp do lây nhiễm qua mạng.

Sẽ mất một chút thời gian để thiết lập, nhưng khoản tiết kiệm tiềm năng là rất lớn nếu bạn gặp phải vấn đề.

Tài khoản riêng cho các nhiệm vụ riêng biệt là cách tốt nhất để xem xét nó. Nguyên tắc tối thiểu của tư nhân là tên của trò chơi. Giới hạn việc sử dụng tài khoản "quản trị viên" đối với các tác vụ phải được thực hiện dưới dạng "quản trị viên".

Ý kiến ​​khác nhau đôi chút giữa Windows và * nix nhưng việc bạn đề cập đến quản trị viên tên miền khiến tôi nghĩ rằng bạn đang nói về Windows, vì vậy đó là bối cảnh tôi đang trả lời.

Trên máy trạm, thông thường bạn không cần phải là quản trị viên, vì vậy câu trả lời cho câu hỏi của bạn trong hầu hết các trường hợp sẽ là KHÔNG. Tuy nhiên, có rất nhiều trường hợp ngoại lệ và nó thực sự phụ thuộc vào chính xác những gì người đó đang làm trên máy.

Trên máy chủ, đây là một chủ đề tranh luận. Quan điểm riêng của tôi là tôi chỉ đăng nhập vào một máy chủ để thực hiện công việc quản trị viên, vì vậy việc đăng nhập với tư cách là một người dùng và sau đó chạy từng công cụ riêng biệt bằng cách sử dụng run-as, điều này thực sự luôn là một nỗi đau thực sự trong những gì bạn biết và đối với hầu hết các công việc, điều đó chỉ khiến cuộc sống của quản trị viên trở nên quá khó khăn và tốn thời gian. Bởi vì hầu hết các công việc quản trị viên Windows được thực hiện bằng các công cụ GUI, có một mức độ an toàn không có mặt để nói rằng một quản trị viên Linux làm việc trên dòng lệnh, trong đó một lỗi đánh máy đơn giản có thể khiến anh ta lục lọi trong băng dự phòng tối qua.

cuộc sống của tôi rất đơn giản ... tài khoản được đặt tên riêng biệt và tất cả đều có mật khẩu khác nhau.

Tài khoản thượng đế - quản trị viên tên miền để thực hiện tất cả công việc phía máy chủ

tài khoản demigod để quản trị PC - không có quyền đối với cổ phần / máy chủ - chỉ đối với PC

Người dùng yếu đuối - Tôi cấp cho mình người dùng quyền lực trên máy tính của riêng tôi, nhưng tôi thậm chí không có các quyền đó trên các PC khác

những lý do cho sự tách biệt là rất nhiều. không nên tranh cãi, cứ làm đi!

Có nguy cơ bị bỏ phiếu xuống địa ngục, tôi phải nói rằng nó phụ thuộc vào quy trình làm việc của quản trị viên. Đối với cá nhân tôi, phần lớn những việc tôi đang làm trên máy trạm của mình trong khi làm việc sẽ cần những thông tin quản trị viên đó. Bạn đã tích hợp sẵn các công cụ như công cụ quản lý miền, bảng điều khiển quản lý bên thứ 3, ổ đĩa được ánh xạ, công cụ truy cập từ xa dòng lệnh, tập lệnh, v.v. Phải gõ thông tin đăng nhập cho hầu hết mọi thứ bạn mở sẽ là một cơn ác mộng.

Về những thứ duy nhất thường không cần quyền quản trị viên là trình duyệt web, ứng dụng email, ứng dụng khách IM và trình xem PDF của tôi. Và hầu hết những thứ đó vẫn mở từ khi tôi đăng nhập đến khi tôi đăng xuất. Vì vậy, tôi đăng nhập bằng thông tin quản trị viên của mình và sau đó tôi chạy tất cả các ứng dụng riêng tư thấp của mình với tài khoản riêng tư thấp. Nó ít rắc rối hơn và tôi không cảm thấy an toàn hơn khi làm như vậy.