Tại sao bạn nên tắt đăng nhập mạng cho tài khoản cục bộ?

Câu hỏi này có liên quan đến chủ đề Twitter của @ SwiftOnSecurity: https://twitter.com/SwiftOnSecurity/status/655208224572882944

Sau khi đọc qua chuỗi, tôi vẫn không hiểu tại sao bạn muốn tắt đăng nhập mạng cho tài khoản cục bộ.

Vì vậy, đây là những gì tôi nghĩ, xin vui lòng sửa cho tôi nơi tôi sai:

Nói rằng tôi có một AD được thiết lập với một DC và nhiều khách hàng. Một trong những khách hàng là John. Vì vậy, vào buổi sáng, John đi làm và đăng nhập vào máy tính để bàn của mình với thông tin đăng nhập AD. Vào buổi trưa, John đi đến một cuộc họp và 'khóa' máy tính của anh ấy (windows + L). Sau đó, anh ta cần kết nối với PC trở lại văn phòng bằng máy tính xách tay cá nhân từ xa (thông qua RDP hoặc một cái gì đó). Tuy nhiên, sử dụng chính sách mới này, anh ta sẽ không thể làm như vậy.

Giải thích mà Securitay đưa ra là mật khẩu không được lưu lại. Tuy nhiên, làm thế nào kẻ tấn công có được quyền truy cập trong trường hợp này? Mật khẩu nào không được muối? Hay là tình huống tôi có trong đầu hoàn toàn không liên quan đến những gì cô ấy đang cố nói? Nếu đây là trường hợp, cô ấy thực sự đang cố gắng nói gì?

Cho phép đăng nhập mạng cho các tài khoản cục bộ là nguy hiểm và thực hành bảo mật kém. Đối với các thành viên nhóm quản trị viên, tôi thực sự sẽ mô tả nó là sơ suất. Nó cho phép di chuyển bên, và rất khó để phát hiện và kiểm toán do các tài khoản đăng nhập không được đăng nhập tập trung (trên bộ điều khiển miền).

Để giảm thiểu mối đe dọa này, Microsoft thực sự đã tạo hai số nhận dạng bảo mật tích hợp mới để thêm vào quyền "Từ chối quyền truy cập vào máy tính này từ mạng":

S-1-5-113: NT AUTHORITY\Local account  
S-1-5-114: NT AUTHORITY\Local account and member of Administrators group  

http://bloss.technet.com/b/secguide/archive/2014/09/02/blocking-remote-use-of-local-accounts.aspx

http://bloss.technet.com/b/srd/archive/2014/06/05/an-overview-of-kb2871997.aspx

Không, kịch bản ví dụ của bạn không chính xác. Nếu anh ấy sử dụng thông tin đăng nhập AD để đăng nhập, mọi thứ đều ổn. Vấn đề là với các tài khoản cục bộ, nghĩa là, những tài khoản được tạo và chỉ tồn tại trên các máy tính cá nhân. Ví dụ: \ \ Administrator, nhưng điều này áp dụng cho bất kỳ tài khoản nào trong miền của máy tính (COMPUTERNAME \ USERNAME). Rủi ro bảo mật ", AIUI, là nếu các tài khoản cục bộ (ví dụ: Quản trị viên cục bộ) chia sẻ cùng một mật khẩu trên nhiều máy, thì có thể trích xuất băm mật khẩu từ máy tính và sử dụng lại băm trong một số trường hợp (như là một phần mềm độc hại hoặc kẻ tấn công khác) di chuyển ngang giữa các máy tính.