Bezpieczeństwo kont administratorów

Bezpieczeństwo kont administratorów powinno być jednym z podstawowych elementów ochrony firmowej infrastruktury IT. Administrator może zmieniać konfigurację systemów, tworzyć użytkowników, nadawać uprawnienia, instalować oprogramowanie, zarządzać serwerami lub modyfikować ustawienia usług chmurowych.

Z tego powodu konto administracyjne powinno być traktowane inaczej niż zwykłe konto pracownika. Samo silne hasło nie wystarcza. Potrzebne są dodatkowe mechanizmy uwierzytelniania, ograniczenie liczby osób posiadających uprawnienia, rozdzielenie kont zwykłych od administracyjnych oraz regularna kontrola aktywności.

Dlaczego konto administratora jest szczególnie ważnym celem?

Standardowe konto użytkownika zazwyczaj umożliwia dostęp do ograniczonego zestawu zasobów: poczty, dokumentów, aplikacji czy konkretnych folderów.

Konto administratora może mieć znacznie większy zakres możliwości. W zależności od systemu może pozwalać między innymi na:

• tworzenie i usuwanie kont użytkowników,
• resetowanie haseł,
• zmianę konfiguracji zabezpieczeń,
• wyłączenie wybranych mechanizmów ochronnych,
• dostęp do serwerów i urządzeń sieciowych,
• modyfikowanie reguł dostępu,
• instalowanie oprogramowania,
• zarządzanie środowiskiem Microsoft 365 lub Google Workspace,
• dostęp do kopii zapasowych i systemów monitoringu.

Przejęcie takiego konta może więc umożliwić dalszą eskalację ataku.

CISA zaleca między innymi rozdzielenie zwykłych kont użytkowników od kont administratorów oraz wykorzystywanie kont administracyjnych wyłącznie do czynności wymagających podwyższonych uprawnień. (⁠CISA)

Osobne konto do pracy i osobne do administracji

Jednym z podstawowych zabezpieczeń jest niedopuszczanie do codziennej pracy na koncie posiadającym szerokie uprawnienia administracyjne.

Administrator powinien posiadać przykładowo:

konto standardowe – używane do poczty, przeglądania internetu, komunikatorów, dokumentów i codziennej pracy,

konto administracyjne – wykorzystywane tylko wtedy, kiedy konieczne jest wykonanie czynności wymagającej podwyższonych uprawnień.

Takie rozdzielenie ogranicza ryzyko przypadkowego użycia wysokich uprawnień przez złośliwy program lub wykorzystania ich podczas ataku phishingowego.

Podobne podejście zaleca ENISA. W technicznych wytycznych dotyczących zarządzania ryzykiem cyberbezpieczeństwa wskazuje na stosowanie oddzielnych danych uwierzytelniających dla dostępu uprzywilejowanego i administracyjnego. (⁠ENISA)

MFA powinno być standardem dla administratorów

Samo hasło — nawet długie i unikalne — nie powinno być jedynym zabezpieczeniem konta posiadającego szerokie uprawnienia.

Dla kont administracyjnych należy stosować uwierzytelnianie wieloskładnikowe (MFA).

CISA rekomenduje MFA dla zdalnego dostępu oraz dostępu uprzywilejowanego i administracyjnego, wskazując jednocześnie, że należy wybierać możliwie najsilniejsze dostępne metody uwierzytelniania. (⁠CISA)

W przypadku szczególnie wrażliwych kont warto rozważyć metody odporne na phishing, takie jak odpowiednio skonfigurowane klucze bezpieczeństwa, passkeys lub uwierzytelnianie certyfikatowe.

Microsoft publikuje obecnie osobne zalecenia dotyczące wymuszania phishing-resistant MFA dla wysoko uprzywilejowanych ról w Microsoft Entra poprzez Conditional Access. (⁠Microsoft Learn)

Jeżeli firma korzysta z Microsoft 365 lub Google Workspace, właściwe skonfigurowanie mechanizmów uwierzytelniania warto uwzględnić podczas wdrożenia Microsoft 365 lub Google Workspace.

Nie każdy administrator potrzebuje pełnych uprawnień

Częstym błędem jest nadawanie administratorom maksymalnego poziomu dostępu „na wszelki wypadek”.

Lepszym rozwiązaniem jest zasada najmniejszych uprawnień. Użytkownik powinien otrzymywać tylko takie uprawnienia, których rzeczywiście potrzebuje do wykonywania swoich obowiązków.

Przykładowo administrator zajmujący się pocztą nie zawsze musi posiadać możliwość zarządzania wszystkimi elementami infrastruktury. Osoba obsługująca komputery użytkowników nie musi automatycznie mieć pełnych praw do serwerów produkcyjnych.

Ograniczenie zakresu uprawnień zmniejsza potencjalne skutki zarówno przejęcia konta, jak i zwykłego błędu administratora.

Regularnie sprawdzaj, kto ma uprawnienia administracyjne

Uprawnienia mają tendencję do pozostawania w systemie dłużej, niż są potrzebne.

Pracownik może zmienić stanowisko, projekt może się zakończyć, zewnętrzny dostawca może przestać świadczyć usługę, a konto nadal pozostaje członkiem grupy administratorów.

Dlatego firma powinna okresowo wykonywać przegląd:

• kont posiadających uprawnienia administracyjne,
• przypisanych ról,
• kont nieużywanych,
• kont byłych pracowników,
• dostępów dostawców zewnętrznych,
• kont technicznych i serwisowych,
• wyjątków od standardowej polityki bezpieczeństwa.

Taki przegląd może być częścią szerszego audytu IT, obejmującego również konfigurację urządzeń, backup, systemy serwerowe oraz bezpieczeństwo sieci.

Monitorowanie logowań i działań administratorów

Ochrona kont administracyjnych nie kończy się na MFA.

Warto również rejestrować i analizować aktywność związaną z kontami uprzywilejowanymi. Szczególnie istotne mogą być:

• nietypowe godziny logowania,
• logowanie z nowego kraju lub urządzenia,
• nagłe nadanie wysokich uprawnień,
• utworzenie nowego administratora,
• zmiana metod MFA,
• wyłączenie zabezpieczeń,
• masowe zmiany konfiguracji,
• próby uzyskania dostępu do wielu systemów.

Same logi nie zapewniają ochrony, jeśli nikt ich nie analizuje. W większych środowiskach pomocne może być centralne zbieranie zdarzeń oraz tworzenie alertów dotyczących najważniejszych operacji.

Konta awaryjne również wymagają procedury

W środowiskach chmurowych często stosuje się specjalne konto awaryjne, określane również jako break-glass account.

Jego zadaniem jest zapewnienie dostępu do środowiska, gdy standardowe mechanizmy logowania lub konfiguracja zabezpieczeń przestają działać.

Takie konto nie powinno jednak stać się „zapasowym administratorem”, którego hasło zna kilka osób i którego nikt nie kontroluje.

Dostęp awaryjny powinien mieć jasno określoną procedurę użycia, odpowiednio zabezpieczone dane dostępowe oraz monitoring aktywności.

Microsoft zwraca również uwagę na potrzebę odpowiedniego zabezpieczenia dostępu awaryjnego przy projektowaniu polityk Conditional Access, ponieważ błędna konfiguracja może doprowadzić do odcięcia administratorów od środowiska. (⁠Microsoft Learn)

Administrator lokalny na każdym komputerze? To również ryzyko

Problem kont uprzywilejowanych nie dotyczy wyłącznie Microsoft 365, Google Workspace czy serwerów.

Ważne są również lokalne konta administratorów na komputerach pracowników.

Jeżeli wszystkie komputery wykorzystują identyczne dane administratora lokalnego, przejęcie jednego urządzenia może ułatwić napastnikowi dalsze przemieszczanie się w środowisku.

Należy więc kontrolować:

• kto posiada lokalne uprawnienia administratora,
• czy użytkownicy rzeczywiście ich potrzebują,
• jak zarządzane są hasła lokalnych kont,
• czy dostęp jest rejestrowany,
• czy konto administracyjne jest używane do codziennej pracy.

Takie kwestie powinny być elementem bieżącej obsługi informatycznej firm, a nie jednorazową konfiguracją przy wdrożeniu komputera.

Przykład 1: administrator Microsoft 365

Firma posiada dwóch pracowników odpowiedzialnych za Microsoft 365. Każdy z nich na co dzień korzysta z poczty, Teams oraz dokumentów.

Bezpieczniejsze podejście polega na wykorzystaniu standardowych kont do codziennej pracy oraz osobnych kont administracyjnych chronionych silnym MFA.

Dodatkowo role powinny odpowiadać rzeczywistym obowiązkom administratorów zamiast automatycznego przydzielania najwyższego poziomu uprawnień.

Przykład 2: zewnętrzna firma IT

Firma korzysta z usług zewnętrznego dostawcy IT.

Zamiast przekazywać jedno wspólne konto administratora kilku technikom, należy zapewnić możliwość identyfikacji osoby wykonującej operacje i ograniczyć zakres dostępu do niezbędnego minimum.

Dzięki temu późniejsza analiza logów pozwala określić, kto wykonał daną zmianę i kiedy została ona wykonana.

Przykład 3: konto administratora serwera

Administrator zarządzający serwerem nie powinien używać konta posiadającego wysokie uprawnienia do przeglądania internetu, obsługi poczty czy zwykłej pracy biurowej.

Konto administracyjne powinno być wykorzystywane wyłącznie w kontekście zarządzania infrastrukturą.

Takie podejście ogranicza liczbę sytuacji, w których dane logowania administratora mogą zostać narażone na atak.

Wnioski

Bezpieczeństwo kont administratorów nie zależy od jednego ustawienia.

Najważniejsze jest połączenie kilku mechanizmów:

• oddzielnych kont standardowych i administracyjnych,
• silnego MFA,
• ograniczenia liczby administratorów,
• zasady najmniejszych uprawnień,
• regularnego przeglądu ról,
• monitorowania logowań i zmian,
• kontroli kont technicznych i zewnętrznych,
• procedury dostępu awaryjnego.

Im większy zakres uprawnień posiada konto, tym bardziej restrykcyjne powinny być zasady jego używania.

Podsumowanie

Bezpieczeństwo kont administratorów powinno być traktowane jako osobny obszar ochrony infrastruktury. Przejęcie konta z wysokimi uprawnieniami może mieć znacznie większe konsekwencje niż przejęcie zwykłego konta pracownika.

Najważniejsze działania to rozdzielenie kont administracyjnych od codziennych, wdrożenie MFA odpornego na phishing tam, gdzie jest to możliwe, ograniczenie zakresu uprawnień oraz regularna kontrola aktywności.