É ruim estar conectado como administrador o tempo todo?

No escritório em que trabalho, três dos outros membros da equipe de TI ficam conectados em seus computadores o tempo todo com contas que são membros do grupo de administradores de domínio.

Tenho sérias preocupações em fazer login com direitos de administrador (local ou para o domínio). Como tal, para o uso diário do computador, uso uma conta que apenas possui privilégios regulares de usuário. Eu também tenho uma conta diferente que faz parte do grupo de administradores de domínio. Uso essa conta quando preciso fazer algo que exija privilégios elevados no meu computador, em um dos servidores ou no computador de outro usuário.

Qual é a melhor prática aqui? Os administradores de rede devem estar conectados com direitos a toda a rede o tempo todo (ou até mesmo o computador local)?

A melhor prática absoluta é Usuário Vivo, Raiz de Trabalho . O usuário no qual você está conectado como quando pressiona a atualização na falha do servidor a cada 5 minutos deve ser um usuário normal. O que você usa para diagnosticar problemas de roteamento do Exchange deve ser Admin. Conseguir essa separação pode ser difícil, pois no Windows requer pelo menos duas sessões de login e isso significa dois computadores de alguma forma.

• As VMs funcionam muito bem para isso, e é assim que eu resolvo.
• Ouvi falar de organizações que restringem o login de suas contas elevadas a determinadas VMs especiais hospedadas internamente e os administradores dependem do RDP para acessar.
• O UAC ajuda a limitar o que um administrador pode fazer (acessando programas especiais), mas as solicitações contínuas podem ser tão irritantes quanto ter que se conectar remotamente a uma outra máquina para fazer o que precisa ser feito.

Por que essa é uma prática recomendada? Em parte, é porque eu disse isso e muitos outros. O SysAdminning não possui um órgão central que defina as melhores práticas de qualquer forma definitiva. Na última década, publicamos algumas práticas recomendadas de segurança de TI, sugerindo que você use privs elevados apenas quando realmente precisar deles. algumas das melhores práticas são definidas através da gestalt de experiência dos administradores de sistemas nos últimos 40 anos. Um artigo da LISA 1993 ( link ), um exemplo de artigo da SANS ( link , um PDF), uma seção dos 'controles críticos de segurança' do SANS abordam esse assunto ( link ).

Como esse é um domínio do Windows, é provável que as contas que eles estão usando tenham acesso completo à rede a todas as estações de trabalho; portanto, se algo de ruim acontecer, poderá ocorrer na rede em segundos. O primeiro passo é garantir que todos os usuários estejam realizando um trabalho diário, navegando na Web, escrevendo documentos etc. de acordo com o princípio de Acesso Mínimo de Usuário .

Minha prática é criar uma conta de domínio e conceder privilégios de administrador a essa conta em todas as estações de trabalho (PC-admin) e uma conta de domínio separada para o trabalho de administração do servidor (server-admin). Se você estiver preocupado com a possibilidade de seus servidores se comunicarem, é possível ter contas individuais para cada máquina (<x> -admin, <y> -admin). Definitivamente, tente usar outra conta para executar os trabalhos de administração do domínio.

Dessa forma, se você estiver fazendo algo em uma estação de trabalho comprometida com a conta de administrador do PC e aproveitar a chance de ter privilégios de administrador para tentar acessar outras máquinas pela rede, não será possível fazer nada desagradável para seus servidores. Ter essa conta também significa que ela não pode fazer nada com seus dados pessoais.

Devo dizer, porém, que em um lugar que sei onde a equipe trabalhou com os princípios da LUA, eles não tiveram uma infestação adequada de vírus durante os três anos que vi; outro departamento no mesmo local em que todos os membros da equipe de administração local e de TI com o administrador do servidor tiveram vários surtos, um dos quais levou uma semana de tempo para ser limpo devido à disseminação da infecção pela rede.

Demora algum tempo para configurar, mas as economias potenciais são enormes se você for atingido por problemas.

Contas separadas para tarefas separadas é a melhor maneira de ver isso. Princípio de menor privilégio é o nome do jogo. Limite o uso de contas "admin" para as tarefas que precisam ser executadas como "admin".

As opiniões diferem um pouco entre o Windows e o * nix, mas sua menção a administradores de domínio me faz pensar que você está falando sobre o Windows, então esse é o contexto em que estou respondendo.

Em uma estação de trabalho, você normalmente não precisa ser administrador; portanto, na maioria dos casos, a resposta para sua pergunta será NÃO. No entanto, existem muitas exceções e isso realmente depende exatamente do que a pessoa está fazendo na máquina.

Em um servidor, é um tópico de muito debate. Minha opinião é que eu só logon em um servidor para executar tarefas administrativas, por isso não faz sentido fazer logon como usuário e, em seguida, executar cada ferramenta separada usando run-as, o que, francamente, sempre foi uma verdadeira dor no you-know-what e para a maioria dos trabalhos, isso simplesmente torna a vida de um administrador excessivamente difícil e demorada. Como a maior parte do trabalho de administração do Windows é feita usando ferramentas da GUI, existe um grau de segurança que não existe, por exemplo, um administrador do Linux trabalhando na linha de comando, onde um simples erro de digitação pode enviá-lo correndo para a fita de backup da noite passada.

minha vida é simples ... as contas têm nomes distintos e todas têm senhas diferentes.

Deus - administrador de domínio para fazer todo o trabalho no servidor

conta semideus para administrar os PCs - não tem direitos a compartilhamentos / servidores - apenas aos PCs

usuário fraco - concedo a mim mesmo usuário avançado no meu próprio PC, mas nem tenho esses direitos em outros PCs

as razões para a separação são muitas. não deve haver argumento, apenas faça-o!

Correndo o risco de ser votado para o inferno, devo dizer que depende do fluxo de trabalho do administrador. Para mim, pessoalmente, a grande maioria das coisas que estou fazendo na estação de trabalho enquanto estiver no trabalho precisará dessas credenciais de administrador. Você tem itens internos, como ferramentas de gerenciamento de domínio, consoles de gerenciamento de terceiros, unidades mapeadas, ferramentas de acesso remoto da linha de comando, scripts, etc. A lista continua. Ter que digitar credenciais para quase todas as coisas que você abrir seria um pesadelo.

As únicas coisas que geralmente não precisam de privilégios de administrador são meu navegador da Web, cliente de email, cliente de IM e visualizador de PDF. E a maioria dessas coisas fica aberta desde o momento em que faço o login até o momento em que saio. Portanto, faço login com minhas credenciais de administrador e, em seguida, corro como todos os meus aplicativos privados com uma conta privada baixa. É muito menos aborrecido e não me sinto menos seguro por fazer isso.