Көптеген компанияларда жұмыс компьютеріндегі жергілікті әкімші құқықтары қалыпты баптау ретінде қабылданады: қызметкерге бір кезде бағдарлама орнату, принтер қосу немесе жұмыс қолданбасын жаңарту қажет болды — содан кейін оның есептік жазбасын жай ғана Administrators тобына қосып қойған.
Бірнеше айдан кейін бастапқы себеп ұмытылады, ал әкімшілік құқықтар тұрақты күйінде қалады.
Ештеңе болмаған кезде бұл ыңғайлы көрінеді. Пайдаланушы бағдарламаларды өзі орнатады, жүйелік параметрлерді өзгертеді және әр ұсақ мәселе бойынша әкімшіге жүгінбейді. Бірақ қауіпсіздік тұрғысынан бұл басқа нәрсені білдіреді: пайдаланушы артықшылықтарды көтеру арқылы іске қоса алған кез келген бағдарлама операциялық жүйенің жұмысына араласу мүмкіндігін алуы ықтимал.
Әкімші құқықтары жүйелік параметрлерді өзгертуге, қызметтер мен драйверлерді орнатуға, жергілікті пайдаланушыларды басқаруға, қауіпсіздік баптауларын өзгертуге және қарапайым есептік жазбаға қолжетімсіз басқа әрекеттерді орындауға мүмкіндік береді. Мұндай құқықтарға тұрақты түрде ие пайдаланушылар неғұрлым көп болса, бір компьютердегі қате немесе компрометация салдары соғұрлым ауқымды болуы мүмкін.
Windows жүйесіндегі жергілікті әкімші деген не
Әр Windows компьютерінде жергілікті пайдаланушы топтары бар. Солардың ең маңыздыларының бірі — Administrators.
Осы топқа кіретін пайдаланушы нақты компьютерде әкімшілік операцияларды орындай алады.
UAC қосулы кезде Windows әр бағдарламаны автоматты түрде ең жоғары құқықтармен іске қоспайды. Кейбір әрекеттер үшін пайдаланушы құқықтарды көтеру туралы сұрауды көреді. Бірақ негізгі мән өзгермейді: егер адам жергілікті әкімші болса, ол бұл көтеруді растап, әрекетті әкімшілік өкілеттіктермен орындай алады.
Қарапайым есептік жазбада әкімшілік реквизиттерді енгізбей мұндай мүмкіндік болмайды.
Неліктен тұрақты әкімшілік құқықтар тәуекелді арттырады
Негізгі мәселе қызметкер міндетті түрде жүйелік параметрлерді әдейі өзгертеді дегенде емес.
Көбіне тәуекел пайдаланушы қалыпты деп қабылдайтын бағдарламаларға, файлдарға және әрекеттерге байланысты.
Бұл электрондық поштадағы тіркеме, бағдарлама орнатқышы, архив, Интернеттен жүктелген утилита, жалған жаңарту, скрипт немесе басқа файл болуы мүмкін.
Егер мұндай нысанды іске қосу әкімшілік құқықтарды сұраса, тұрақты артықшылықтары бар пайдаланушы құқықтарды көтеруді өзі растай алады.
Қарапайым пайдаланушы үшін бұл тізбек жүйе әкімшілік реквизиттерді сұрайтын кезеңде тоқтауы мүмкін.
Бұл стандартты есептік жазба компьютерді осал емес етеді дегенді білдірмейді. Зиянды бағдарлама пайдаланушы контекстінде жұмыс істеп, оған қолжетімді деректерді ұрлауы немесе басқа шабуыл тәсілдерін қолдануы мүмкін.
Бірақ артықшылықтарды шектеу қосымша тосқауылсыз орындалатын әрекеттер ауқымын азайтады.
Әкімші құқықтары бар пайдаланушы нені өзгерте алады
Әкімшілік артықшылықтар компьютер конфигурациясына елеулі ықпал етуге мүмкіндік береді.
Windows баптаулары мен қолданылатын саясаттарға байланысты пайдаланушы:
- бағдарламалық жасақтаманы орната және жоя алады;
- жергілікті есептік жазбаларды қоса немесе өзгерте алады;
- пайдаланушыларды әкімшілік топтарға қоса алады;
- жүйелік қызметтерді орната алады;
- желілік интерфейстер параметрлерін өзгерте алады;
- драйверлерді орната алады;
- жүйелік қауіпсіздік параметрлерінің бір бөлігін өзгерте алады;
- тиісті құқықтар болған жағдайда басқа жергілікті пайдаланушылардың деректеріне қол жеткізе алады;
- Windows-тың қорғалған бумалары мен жүйелік аймақтарына өзгерістер енгізе алады.
Бұл мүмкіндіктердің көбі әкімшілендіру үшін қажет. Мәселе олар негізгі жұмысына қажет емес пайдаланушыға тұрақты қолжетімді болған кезде пайда болады.
Ең жиі айтылатын уәж: «Әйтпесе бағдарлама жұмыс істемейді»
Іс жүзінде бұл сөз өте жиі кездеседі.
Кейбір қолданбаларға шынымен әкімшілік әрекеттер қажет болуы мүмкін: компоненттерді орнату, қызметтерді тіркеу, драйверді жаңарту, жүйелік конфигурацияны өзгерту немесе бастапқы баптау.
Бірақ бұл қызметкер күні бойы әкімші болып жұмыс істеуі керек дегенді білдірмейді.
Бағдарламаны орнату мен баптауды және оны күнделікті пайдалануды бөлек қарастыру қажет.
Көп жағдайда бағдарламаны әкімшілік өкілеттіктермен орнатып, қажетті баптауларды орындап, одан кейін оны қарапайым пайдаланушы есептік жазбасынан іске қосуға болады.
Егер әкімшілік өкілеттіктер қолданбаны жаңарту үшін айына бір рет қана қажет болса, оларды пайдаланушыға қалған 30 күн бойы қалдырудың мәні жоқ. Әкімшілік құқықтарды тек нақты операция орындалатын сәтте берген дұрыс.
Жергілікті әкімші құқықтары шынымен қашан қажет
Әкімшілерден толық бас тарту мүмкін емес. Windows жүйесін біреу қызмет көрсетуі тиіс.
Әкімшілік құқықтар шынымен жүйелік әкімшілендірумен айналысатын қызметкерлерге негізді: бағдарламалық жасақтаманы орнату және қызмет көрсету, жүйелік конфигурацияны өзгерту, құрылғыларды басқару, техникалық ақауларды жою және басқа әкімшілік міндеттерді орындау.
Олар арнайы бағдарламалық жасақтама немесе жабдықпен жұмыс істейтін әзірлеушілерге, инженерлерге немесе мамандарға уақытша қажет болуы мүмкін.
Бірақ мұндай жағдайларда да күнделікті жұмыс пен әкімшілік әрекеттерді бөлу дұрыс.
Бір есептік жазба — күнделікті жұмысқа, екіншісі — әкімшілендіруге
Ең практикалық тәсілдердің бірі — IT-маманға екі бөлек есептік жазба беру.
Қарапайым есептік жазбамен ол поштамен, браузермен, құжаттармен және корпоративтік жүйелермен жұмыс істейді.
Әкімшілік әрекет қажет болған кезде бөлек әкімшілік реквизиттер пайдаланылады.
Мұндай тәсіл браузердің, пошта клиентінің немесе кездейсоқ іске қосылған файлдың әкімшілендіруге арналған есептік жазба контекстінде жұмыс істеу ықтималдығын азайтады.
Бұл тек өз компьютеріне емес, серверлерге, желілік жабдыққа және басқа маңызды жүйелерге де қол жеткізетін жүйелік әкімшілер үшін ерекше маңызды.
Неліктен ортақ жергілікті Administrator — бөлек проблема
Тағы бір кең таралған схема — ондаған компьютерде бірдей құпиясөзі бар бір жергілікті әкімшілік есептік жазбаны пайдалану.
Қызмет көрсету тұрғысынан бұл ыңғайлы: әкімші бір құпиясөзді біледі және кез келген жұмыс орнына кіре алады.
Қауіпсіздік тұрғысынан мұндай тәсіл қосымша тәуекел туғызады. Егер бір компьютердегі әкімшілік реквизиттер шабуылдаушыға белгілі болып қалса, олар басқа құрылғыларда да жарамды болуы мүмкін.
Сондықтан жергілікті әкімшілік құпиясөздерді әр компьютер үшін бірегей еткен дұрыс.
Windows инфрақұрылымында мұндай құпиясөздерді орталықтандырылған басқару үшін Windows LAPS немесе басқа бақыланатын механизм қолданылуы мүмкін.
Бір жергілікті әкімшілік есептік жазбаның компрометациясы компанияның қалған компьютерлеріне автоматты түрде әкімшілік қол жеткізуге әкелмеуі тиіс.
Ерекше қауіпті үйлесім: RDP + жергілікті әкімші
Пайдаланушы компьютерге қашықтан қосыла алатын және сонымен бірге сол компьютерде жергілікті әкімші болған жағдайда тәуекел артады.
Мұндай жағдайда оның есептік деректерінің компрометациясы шабуылдаушыға жай пайдаланушы сеансын ғана емес, жүйеде әкімшілік әрекеттер орындау мүмкіндігін беруі мүмкін.
Сондықтан RDP-ді тексергенде қашықтан қосылуға рұқсат етілген пайдаланушылардың тізімін ғана емес, олардың нақты артықшылық деңгейін де қарау қажет.
Қашықтан қол жеткізу архитектурасы туралы толығырақ «RDP, AnyDesk және Radmin: қашықтан қол жеткізуді қалай қауіпсіз ұйымдастыруға болады» мақаласында қарастырдық.
Жергілікті әкімші және зиянды бағдарламалар
Кейде «Бізде антивирус бар, демек әкімшілік құқықтар мәселе емес» деген пікірді естуге болады.
Антивирус шынымен маңызды қорғаныс деңгейі, бірақ ол артықшылықтарды басқаруды алмастырмайды.
Қазіргі қорғаныс бірнеше тәуелсіз деңгейден құрылады: жаңартулар, антивирус немесе EDR, құқықтарды шектеу, MFA, желілік қорғаныс, резервтік көшіру және қызметкерлерді оқыту.
Егер бір деңгей жұмыс істемесе, қалғандары салдарды шектеуі тиіс.
Минималды артықшылық қағидасы дәл осындай қосымша тосқауыл жасайды.
Әкімшілік құқықтар және ransomware
Шифрлаушыға пайдаланушы онсыз да қол жеткізе алатын құжаттарды шифрлау үшін әкімшілік құқықтар міндетті емес.
Егер қызметкерге желілік бумалар, жергілікті құжаттар немесе қосылған ресурстар қолжетімді болса, оның пайдаланушы контекстінде жұмыс істейтін зиянды процесс те осы деректерді өзгертуге әрекет жасай алады.
Сондықтан жергілікті әкімші құқықтарын алып тастауды ransomware-ден дербес қорғаныс деп санауға болмайды.
Бірақ әкімшілік артықшылықтар зиянды код мүмкіндіктерін кеңейте алады: жүйе параметрлерін өзгерту, қызметтер орнату, қорғаныс механизмдеріне араласу және жүйеде тереңірек орнығу.
Сондықтан құқықтарды шектеу — әмбебап шешім емес, бірақ маңызды қорғаныс деңгейлерінің бірі.
Жергілікті әкімшіні жұмыс деректеріне қол жеткізумен шатастырмау керек
Бұл екі бөлек рұқсат деңгейі.
Пайдаланушы Windows-та қарапайым жергілікті пайдаланушы болып, бірақ ортақ желілік бумадағы файлдарды өзгерту құқығына ие болуы мүмкін.
Керісінше, нақты компьютердегі жергілікті әкімші басқа сервердің корпоративтік ресурстарына автоматты түрде қол жеткізе бермейді.
Сондықтан аудит кезінде бөлек тексеру керек:
- пайдаланушының жұмыс станциясындағы жергілікті құқықтарын;
- әкімшілік топтарға мүшелігін;
- желілік бумаларға құқықтарын;
- серверлерге құқықтарын;
- 1С және басқа корпоративтік жүйелерге қол жеткізуін;
- қашықтан қол жеткізуді;
- бұлттық және сыртқы сервистерді.
Қызметкерлер әкімші болып жұмыс істеуге үйреніп қалған болса не істеу керек
Алдын ала тексермей барлық пайдаланушыларды Administrators тобынан бірден алып тастау да дұрыс тәсіл емес.
Алдымен қандай бағдарламалар мен құрылғылар нақты пайдаланылатынын түсіну қажет.
Кейбір ескі қолданбалар дұрыс бапталмаған болып, қорғалған бумаларға дерек жазуға тырысуы мүмкін. Басқалары жоғары құқықтарды тек жаңарту кезінде қажет етеді. Үшінші бағдарламаларға әкімшілік құқықтар мүлде қажет емес, бірақ қызметкерлер оларды жылдар бойы «әкімші атынан» іске қосып жүрген болуы мүмкін.
Сондықтан ауысуды кезең-кезеңімен жасаған дұрыс.
- Жергілікті әкімшілер тізімін жинау. Кімде және не үшін мұндай құқық бар екенін анықтау.
- Қажетті бағдарламаларды анықтау. Қай қолданбаларға шынымен құқықтарды көтеру қажет екенін тексеру.
- Бөлек әкімшілік есептік жазбалар жасау. Күнделікті жұмыс профилін тұрақты әкімші ретінде пайдаланбау.
- Негізсіз құқықтарды алып тастау. Ең алдымен олардың қажет еместігі анық пайдаланушылардан бастау.
- Қолданбалардың жұмысын тексеру. Күнделікті бизнес-процестердің қалыпты жалғасатынына көз жеткізу.
- Бағдарламаларды орнату тәртібін анықтау. Жүйе әкімшілік реквизиттерді сұраса, қызметкер кімге жүгіну керектігін білуі тиіс.
Қазір кім жергілікті әкімші екенін қалай тексеруге болады
Жеке Windows компьютерінде Administrators тобының құрамын жергілікті пайдаланушыларды басқару құралдары немесе PowerShell арқылы көруге болады.
Мысалы:
Get-LocalGroupMember -Group "Administrators"Windows-тың орыс тіліндегі нұсқасында жергілікті топтың атауы локализацияланып көрсетілуі мүмкін, сондықтан инфрақұрылымды автоматтандырылған тексеру кезінде тек мәтіндік атауға емес, топтың SID идентификаторына сүйенген дұрыс.
Бір компьютерде мұндай тексеру бірнеше минут алады. Ал ондаған жұмыс орнында ақпаратты орталықтандырылған түрде жинап, әкімшілік құқықтар картасын қалыптастырған тиімді.
Әкімшілік құқықтармен бірге тағы нені тексеру керек
Әкімшілер тізімінің өзі жалпы көріністің тек бір бөлігін береді.
Егер жұмыс компьютерінде жаңартулар ұзақ уақыт орнатылмаса, қорғаныс өшірілген болса, тұрақты AnyDesk жұмыс істесе, маңызды сервистерде MFA болмаса және барлық жұмыс құжаттары C: дискісінде жалғыз данамен сақталса, пайдаланушыны Administrators тобынан шығару мұндай жұмыс орнын қауіпсіз етпейді.
Тексеру кешенді болуы тиіс.
Жергілікті Administrators тобына қандай пайдаланушылар кіретіні белгілі
Әр әкімшінің құқықтары не үшін қажет екені түсінікті
Қарапайым қызметкерлер тұрақты әкімшілік артықшылықтарсыз жұмыс істейді
Техникалық мамандар үшін бөлек admin-есептік жазбалар пайдаланылады
Әртүрлі компьютерлерде бір ортақ жергілікті әкімшілік құпиясөз қолданылмайды
Қашықтан қол жеткізу тек шынымен қажет пайдаланушыларға берілген
Windows және негізгі қолданбалар тұрақты жаңартылып отырады
Антивирус немесе басқа қорғаныс механизмі қосылған және жұмыс істейді
Пайдаланылмайтын қашықтан басқару бағдарламалары жоқ
Жұмыс деректері резервтік көшіріледі
Жұмыстан кеткен қызметкерлер мен бұрынғы мердігерлерде қол жеткізу қалмаған
Жұмыс орнын автоматты түрде тексеруге болады
Бастапқы бағалау үшін біз «Жұмыс орнының қауіпсіздігін тексеру» құралын жасадық.
Ол 15 базалық тармақты тексеруге мүмкіндік береді: әкімшілік құқықтар, Windows және қолданба жаңартулары, қорғаныс, браузер, резервтік көшіру, MFA, қашықтан қол жеткізу және жұмыс компьютерінің басқа параметрлері.
Мұндай тексеруді тереңірек техникалық аудиттің бастапқы нүктесі ретінде қолдануға болады.
Негізгі қағида — ең аз қажетті артықшылықтар
Дұрыс қауіпсіздік моделі қызметкерлер ешқашан әкімшілік құқықтар алмайды дегенді білдірмейді.
Ол әр пайдаланушыда өз жұмысын орындауға нақты қажет қол жеткізу деңгейі ғана болуы тиіс дегенді білдіреді.
Егер бухгалтерге күнделікті жұмыс үшін браузер, 1С, құжаттар және электрондық қолтаңба қажет болса, оған жүйелік қызметтерді орнату немесе жергілікті әкімшілер құру мүмкіндігі қажет емес.
Егер жүйелік әкімшіге мұндай мүмкіндіктер шынымен қажет болса, оларды бөлек әкімшілік есептік жазба арқылы беріп, тек тиісті міндеттер үшін пайдаланған дұрыс.
Компания неден бастауы керек
Бірден күрделі привилегиялық қол жеткізуді басқару жүйесін енгізу міндетті емес.
Шағын ұйым үшін алғашқы қадам әлдеқайда қарапайым: компьютерлер тізімін жасап, жергілікті әкімшілерді қарап шығып, әр пайдаланушы бойынша бір сұрақ қою — бұл құқықтар оған дәл бүгін не үшін қажет.
Егер нақты жауап болмаса, бұл қол жеткізу тарихи түрде қалып қойған болуы ықтимал.
Осындай «уақытша» құқықтар, ескі есептік жазбалар, ұмыт қалған қашықтан басқару бағдарламалары және бірдей әкімшілік құпиясөздер уақыт өте келе жүйелік мәселеге айналады.
WEB-LABS IT-инфрақұрылымға техникалық тексеру жүргізеді. Оның аясында әкімшілік есептік жазбаларды, қашықтан қол жеткізуді, пайдаланушы құқықтарын, Windows журналдарын, жұмыс станцияларының қорғанысын және басқа қауіпсіздік параметрлерін тексеруге болады.
Киберқауіпсіздік дұрыс әрекеттерден басталады.
WEB-LABS проводит обучение сотрудников основам кибербезопасности на рабочем месте: безопасной работе с электронной почтой, паролями, файлами, интернет-ресурсами и корпоративными системами.
После прохождения курса сотрудники проходят итоговое тестирование и получают персональный сертификат WEB-LABS.