Schritte zur Kontrolle von lokalen Admin-Rechten

IT-Profis benötigen lokale Adminrechte auf Unternehmensgeräten, um Software zu installieren, Konfigurationseinstellungen zu ändern, Fehlerbehebungen durchzuführen und so weiter. Aber allzu oft erhalten auch Geschäftsanwender routinemäßig lokale Adminrechte auf ihren Computern.

Obwohl es praktisch sein kann, Benutzern diese Rechte zu gewähren, entstehen dadurch ernsthafte Sicherheitslücken. Zunächst können die Benutzer selbst absichtlich nicht genehmigte Anwendungen installieren oder Einstellungen ändern, um ihre Arbeit zu vereinfachen, ohne das Sicherheitsrisiko, das sie möglicherweise einführen, ausreichend zu verstehen. Darüber hinaus kann jeder Benutzer Opfer eines Social-Engineering-Angriffs werden — beispielsweise, wenn sie einen bösartigen Anhang öffnen oder auf einen schädlichen Link in einer Phishing-E-Mail klicken. Aber wenn der Benutzer lokale Adminrechte hat, könnte er unbeabsichtigt Malware installieren, die potenziell diese Adminrechte erfassen oder ausnutzen kann, um Daten zu stehlen oder anderen Schaden anzurichten.

Daher ist es eine bewährte Methode, lokalen Administratorenrechten von Geschäftsnutzern auf jedem Computer zu entfernen. Hier sind die 4 Schritte, die Sie zur Umsetzung dieser grundlegenden Sicherheitspraxis durchführen sollten.

Schritt 1: Finden Sie heraus, wer lokalen Administratorzugriff hat.

Der erste Schritt besteht darin, alle Benutzer zu identifizieren, die lokale Admin-Rechte auf jedem Server und Desktop haben. In einem Windows-System wird Benutzern der lokale Admin-Zugriff durch die Mitgliedschaft in der Gruppe der Lokalen Administratoren auf eine der folgenden Arten gewährt:

• Direkte Gruppenmitgliedschaft — Das Benutzerkonto ist als Mitglied der Gruppe aufgeführt.
• Indirekte (verschachtelte) Gruppenmitgliedschaft — Das Benutzerkonto ist Mitglied einer anderen Gruppe, und diese Gruppe ist Mitglied der Gruppe der lokalen Administratoren.

Im Allgemeinen ist es ratsam, die Verschachtelung mit privilegierten Gruppen zu vermeiden, da es schwieriger macht, genau zu bestimmen, wer privilegierte Zugriffsrechte hat.

Leider gibt es keine nativen Tools, die eine vollständige Liste der lokalen Administratoren auf jedem System in Ihrer IT-Umgebung bereitstellen können. Eine Drittanbieter-Lösung wie Netwrix Privilege Secure kann Ihnen jedoch vollständige Transparenz über die Mitgliedschaft jeder Ihrer privilegierten Gruppen bieten, einschließlich der Gruppen der lokalen Administratoren auf Ihren Windows-Servern und Arbeitsstationen. Darüber hinaus überprüft Netwrix Privilege Secure alle Änderungen an Ihren privilegierten Gruppen und benachrichtigt Sie über verdächtige Aktivitäten.

Schritt 2: Lassen Sie Gruppenbesitzer die Mitgliedschaft überprüfen und bestätigen.

Der nächste Schritt besteht darin, den Besitzer jeder lokalen Administratorengruppe zu bestimmen. Dies kann eine herausfordernde Aufgabe sein, daher sollten Sie eine Lösung in Betracht ziehen, die wahrscheinliche Gruppenbesitzer automatisch identifizieren kann.

Dann sollte der Besitzer jeder Gruppe ihre Mitgliedschaft sorgfältig überprüfen, mit dem Ziel, lokale Admin-Zugriffsrechte zu entfernen, die nicht benötigt werden, um die Angriffsfläche der Organisation zu reduzieren. Dieser Überprüfungs- und Bestätigungsprozess sollte regelmäßig wiederholt werden.

Schritt 3. Stellen Sie sicher, dass jedes lokale Administratorkonto ein einzigartiges Passwort hat.

In vielen Organisationen hat das standardmäßige lokale Admin-Konto auf jedem Windows-Gerät denselben Benutzernamen und dasselbe Passwort. Daher hat ein Gegner, der diese Anmeldeinformationen auf nur einem Gerät erhält, administrativen Zugriff auf jedes Gerät und kann sich nach Belieben seitlich durch Ihre Domäne bewegen.

Um zu helfen, bietet Microsoft die Windows Local Access Password Solution (LAPS) an. LAPS stellt sicher, dass jeder Computer in einer Domäne ein einzigartiges Passwort für das lokale Administrator-Konto hat und das lokale Administrator-Passwort automatisch in einem konfigurierten Intervall ändert. LAPS kann mit Group Policy oder Intune bereitgestellt werden.

Schritt 4: Ermächtigen Sie Benutzer und Administratoren dazu, ihre erforderlichen Aufgaben sicher auszuführen.

Das Prinzip der geringsten Rechte ist ein Grundstein der Sicherheit: Jeder Benutzer sollte nur die Rechte haben, die er zur Ausübung seiner Tätigkeit benötigt. Die Einschränkung lokaler Admin-Rechte ist ein wichtiger Schritt zur Durchsetzung des Prinzips der geringsten Rechte — aber sowohl Administratoren als auch Geschäftsanwender müssen manchmal Aufgaben ausführen, für die diese Rechte erforderlich sind.

Mit der nativen Windows-Funktionalität könnten Administratoren sich an einem Computer mit einem nicht privilegierten Konto anmelden und dann die Option „Als Administrator ausführen“ für alle Aufgaben verwenden, die erweiterte Rechte erfordern. Dieser Ansatz erfordert jedoch immer noch dauerhafte Admin-Konten, die von ihren Besitzern missbraucht und von Gegnern kompromittiert werden können. Eine gute Alternative ist die Verwendung einer speziell entwickelten Privileged Access Management (PAM) solution, die dauerhafte privilegierte Konten durch bedarfsorientierte Konten ersetzt, die gerade genug Zugriff haben, um die anstehende Aufgabe zu erledigen und danach automatisch gelöscht werden. Als Ergebnis werden Sie fast keine dauerhaften administrativen Konten haben, um sich ständig Sorgen zu machen.

Um Geschäftsanwendern zu ermöglichen, UAC-Aufforderungen zu umgehen und die spezifischen Anwendungen auszuführen, die sie benötigen — ohne ihnen lokale Adminrechte zu gewähren, ziehen Sie Netwrix Endpoint Policy Manager Least Privilege Manager in Betracht. Diese leistungsstarke Lösung kann auch verhindern, dass Benutzer Ransomware oder andere unerwünschte ausführbare Dateien herunterladen oder installieren.

Fazit

Eine strikte Kontrolle des Privileged Access ist entscheidend, um kostspielige Sicherheitsverletzungen, Ausfallzeiten und Compliance-Strafen zu vermeiden. Mit den richtigen Werkzeugen können Sie lokalen Administratorenrechte von Geschäftsanwendern entfernen, ohne deren Fähigkeit, ihre Arbeit zu verrichten, zu beeinträchtigen und somit Ihre Angriffsfläche erheblich reduzieren.