Anbefaling om bruk av administratorrettigheter på Windowsmaskiner

Disse sidene inneholder pcadms anbefalinger og er foreløpig ikke krav. Bakgrunnen for at vi ønsker å begrense administratorrettigheter på Windowsmaskiner er at konsekvensen ved å bli hacket eller infisert er så mye større for en bruker med disse rettighetene. Vi ser stadig mer avanserte virus. Det rapporteres om tilsvarende mer avanserte rootkit, uten at vi har sett dem ennå. En bruker som blir infisert/hacket vil ikke gi fra seg like mye kontroll over maskinen som en adminbruker. En bruker uten adminrettigheter vil ikke kunne installere bakdører, slå av antivirusprogramvaren, endre brannvegginstillinger eller dumpe lokale passordhasher. Dette kombinert med at en god del virus ikke klarer å kjøre uten adminrettigheter gjør at vi ønsker å fjerne folks adminrettigheter i størst mulig grad. Vi er klar over at det finnes årsaker til at man trenger disse rettighetene.Vi anbefaler at lokale avdelinger innfører begrensede adminrettigheter for de brukerne som trenger det.

Pcadm anbefaler at vanlige brukere ikke har adminrettigheter på egen kontormaskin, men vi ser at i noen tilfeller trenger brukerne disse rettighetene. Vi har derfor laget noen rutiner som kan kjøres fra terminalserverne Kurant eller Absolutt.

• For brukere som svært sjelden trenger rettigheter anbefaler vi at de temporært får adminrettigheter for en kort periode. IT-ansvarlige kan da bruke rutinen tempadmin som legger inn brukeren som administrator for en tidsbegrenset periode. Dette kan også også gjøres via Tivoli med kommandoen "ep adm1hour brukernavn Endpoint" i tsh.
  
• Scriptet anbefales å kjøres fra Absolutt eller Kurant, ved å velge "Admin-scripts - TempAdmin" under LITA-tools, eller ved å kjøre p:\bin\tempadmin.bat i et cmd vindu. Dokumentasjon på scriptet finner du her.
• Brukere som jevnlig trenger adminrettigheter anbefaler vi at får en lokal konto på maskinen sin. Denne skal være på formatet "uiobrukernavn_adm" der uiobrukernavn er en gyldig UiO- brukerkonto. Det er viktig at den er på akkurat dette formatet for at daily skal kunne rapportere riktig. For å se hvordan man kan bruke en adminkonto uten påloggingrettigheter sjekk http://www.usit.uio.no/it/pc/sikkerhet/admin.html
  Scriptet anbefales å kjøres fra terminalserveren Absolutt eller Kurant, ved å velge "Admin-scripts - LokAdmin" under LITA-tools, eller ved å kjøre p:\bin\lokadmin.bat i et cmd vindu. Dokumentasjon på scriptet finner du her.

For å få kontroll over maskinparken har vi laget et standardscript som er ment kjørt fra en GPO for alle maskiner i ett OU.

USIT har laget et Visual basic script. Det er skrevet for å kjøres fra Group Policy i en OU. Hovedoppgaven er å rydde opp i lokale kontoer med administratorrettigheter på maskinen. Kontoer som er medlem i administratorgruppen blir gjennomgått. Hvis de ikke tilfredsstiller et av følgende fire kriterier blir de fjernet fra administratorgruppen.

• Lokal administratorkonto.
• Domeneadministratorkonto(UIO\Domain Admins).
• Konto som slutter med "_adm".
• Driftsgruppe definert med -a parameteren.

Kontoer som slutter på "_adm" er en konto som er ment for brukeren av maskinen.

For å kjøre scriptet gjør du følgende: Gå inn i Computer Configuration->Windows Settings->Scripts->Startup av GPOen for egen GPO. Scriptet ligger på Netlogon-området på domenekontrollerne, hvilket betyr at det ikke er nødvendig å kopiere scriptet til GPOen. I startup properties trykk Add. I "Add a script" vinduet; fyll inn Script Name:

\\uio.no\netlogon\policyscripts\adminadm.vbs

Script Parameters fylles med ønskede verdier som beskrevet under. Scriptet tar følgende parametre:

• -a driftgruppe. Driftgruppe er en gruppe(eller bruker) i domenet som skal legges inn i den lokale administratorgruppen. Dette er nødvendig for at det senere skal være mulig å administrere maskinen med scripts fra Absolutt/Kurant. Parameteren kan kun spesifiseres en gang.
• -u Maskin. Maskin er en maskin der administratorrettightene ikke skal endres. Dette argumentet kan spesifiseres flere ganger.
• -f. Dette argumentet setter et random passord på den lokale administratorkontoen.

Daily kan på forespørsel levere en adminrapport, denne inneholder:

• Maskiner hvor det er lokale adminkontoer som ikke er på formen brukernavn_adm
• Tilfeller hvor brukernavn_adm har påloggingsretter.
• Maskiner som har disablet den lokale GPO-en.

For å få utvidede rapporter, send en e-post til pcadm.

---

Redaksjon: pcadm, pcadm@usit.uio.no
Dokument opprettet: 03.09.2004, endret: 15.09.2004