Jednym z najważniejszych elementów audytu systemów operacyjnych Windows i Linux jest weryfikacja konfiguracji kont lokalnych oraz sposobu zarządzania uprawnieniami administracyjnymi. Konta uprzywilejowane zapewniają pełny lub niemal pełny dostęp do systemu operacyjnego, umożliwiając zmianę konfiguracji, instalację oprogramowania, zarządzanie użytkownikami, modyfikację zabezpieczeń oraz dostęp do wszystkich przechowywanych danych. Z tego względu cyberprzestępcy często obierają je za główny cel ataków.
Celem kontroli jest ocena, czy organizacja właściwie zarządza kontami lokalnymi i administracyjnymi, ogranicza liczbę użytkowników posiadających podwyższone uprawnienia oraz stosuje mechanizmy minimalizujące ryzyko przejęcia takich kont. Audyt powinien również potwierdzić, że organizacja nadaje uprawnienia administracyjne wyłącznie osobom, które rzeczywiście potrzebują ich do wykonywania obowiązków służbowych.
Znaczenie kont uprzywilejowanych dla bezpieczeństwa organizacji
Przejęcie konta administratora jest jednym z najczęstszych celów ataków prowadzonych przeciwko organizacjom. Uzyskanie uprawnień administracyjnych umożliwia atakującemu wyłączenie mechanizmów ochronnych, instalację złośliwego oprogramowania, tworzenie nowych kont użytkowników, dostęp do poufnych danych oraz dalszą eskalację ataku w obrębie całej infrastruktury.
W środowisku Microsoft Windows przejęcie lokalnego administratora często stanowi pierwszy krok do uzyskania uprawnień administratora domeny. W systemach Linux uzyskanie dostępu do konta root lub możliwości wykonywania poleceń z wykorzystaniem mechanizmu sudo daje napastnikowi praktycznie nieograniczoną kontrolę nad systemem.
Niebezpieczne są również sytuacje, w których użytkownicy na co dzień pracują na kontach administracyjnych. W takim przypadku każda uruchomiona aplikacja – również złośliwe oprogramowanie – dziedziczy podwyższone uprawnienia, co znacząco zwiększa skuteczność potencjalnego ataku.
Zakres kontroli audytowej
Audyt powinien obejmować wszystkie konta z uprawnieniami administracyjnymi, zarówno na pojedynczych komputerach, jak i na serwerach. Analiza powinna uwzględniać konta lokalne, konta domenowe z uprawnieniami lokalnego administratora, konta usługowe oraz konta wykorzystywane przez zewnętrznych dostawców.
W środowisku Windows szczególnej uwagi wymagają członkowie lokalnej grupy Administrators, konto Administrator, konta serwisowe oraz konta techniczne wykorzystywane przez aplikacje. Należy również zweryfikować, czy organizacja zarządza lokalnymi kontami administratorów centralnie oraz czy stosuje mechanizmy rotacji haseł.
W systemach Linux audyt powinien obejmować konto root, użytkowników uprawnionych do korzystania z polecenia sudo, członków grup administracyjnych (np. wheel lub sudo) oraz konta techniczne wykorzystywane przez usługi systemowe.
Weryfikacja kont lokalnych
Pierwszym etapem kontroli jest identyfikacja wszystkich lokalnych kont użytkowników istniejących na badanym systemie.
Audytor powinien zwrócić uwagę na następujące kwestie:
- liczbę istniejących kont lokalnych,
- przeznaczenie każdego konta,
- datę utworzenia,
- datę ostatniego logowania,
- stan konta (aktywne, zablokowane, wyłączone),
- przypisane grupy lokalne,
- poziom uprawnień,
- właściciela biznesowego.
W praktyce bardzo często występują konta utworzone na potrzeby jednorazowych prac serwisowych, których administratorzy nigdy później nie usunęli. Takie konta mogą przez wiele lat pozostawać aktywne, mimo że nikt z nich nie korzysta.
Audytor powinien również sprawdzić, czy w systemie nie ma kont o nazwach wskazujących na ich techniczne przeznaczenie, których właściciela organizacja nie potrafi zidentyfikować.
Zarządzanie kontem Administrator i kontem root
Szczególną uwagę należy poświęcić domyślnym kontom administracyjnym.
W środowisku Windows domyślne konto Administrator jest dobrze znane osobom atakującym i często staje się celem prób łamania haseł. Dobrą praktyką jest zmiana nazwy tego konta, ograniczenie możliwości logowania oraz zarządzanie jego hasłem z wykorzystaniem narzędzi takich jak Microsoft Local Administrator Password Solution (LAPS) lub Windows LAPS.
W systemach Linux konto root powinno służyć wyłącznie do wykonywania wyjątkowych czynności administracyjnych. Zaleca się zablokowanie bezpośredniego logowania na konto root przez usługę SSH oraz korzystanie z mechanizmu sudo, który umożliwia rejestrowanie wykonywanych poleceń i przypisywanie ich do konkretnych użytkowników.
Weryfikacja uprawnień administracyjnych
Jednym z najważniejszych zadań audytora jest ustalenie, kto posiada uprawnienia administratora.
Należy odpowiedzieć między innymi na następujące pytania:
- Ilu użytkowników posiada uprawnienia administracyjne?
- Czy każdy administrator posiada uzasadnienie biznesowe?
- Którzy użytkownicy korzystają z oddzielnych kont administracyjnych?
- Czy administratorzy wykorzystują konta uprzywilejowane wyłącznie do zadań administracyjnych?
- Czy prowadzone są okresowe przeglądy uprawnień?
- Czy odebranie uprawnień następuje po zmianie stanowiska lub zakończeniu współpracy?
Jedną z podstawowych zasad bezpieczeństwa jest stosowanie zasady najmniejszych uprawnień (Principle of Least Privilege). Każdy użytkownik powinien posiadać wyłącznie takie uprawnienia, które są niezbędne do wykonywania jego obowiązków.
Konta współdzielone
Podczas audytu należy zweryfikować, czy organizacja nie wykorzystuje współdzielonych kont administracyjnych.
Wspólne konto używane przez wielu administratorów uniemożliwia jednoznaczne ustalenie osoby odpowiedzialnej za wykonane działania. Powoduje to utratę rozliczalności oraz znacząco utrudnia analizę incydentów bezpieczeństwa.
Każdy administrator powinien posiadać własne konto uprzywilejowane, którego używa wyłącznie podczas wykonywania czynności administracyjnych.
Konta nieaktywne i osierocone
Jednym z częstych problemów wykrywanych podczas audytów są konta użytkowników, którzy zakończyli pracę w organizacji lub od wielu miesięcy nie logowali się do systemu.
Takie konta powinny zostać zidentyfikowane oraz zweryfikowane pod kątem dalszej potrzeby ich utrzymywania.
Szczególnie niebezpieczne są nieaktywne konta administracyjne, które posiadają silne uprawnienia, lecz nie są objęte bieżącym nadzorem.
Konta usługowe
Kolejnym elementem kontroli są konta wykorzystywane przez usługi systemowe oraz aplikacje.
Audytor powinien sprawdzić:
- czy konta usługowe posiadają wyłącznie wymagane uprawnienia,
- czy nie wykorzystują uprawnień administratora lokalnego bez uzasadnienia,
- czy hasła są regularnie zmieniane,
- czy stosowane są konta zarządzane (Managed Service Accounts),
- czy możliwe jest interaktywne logowanie na takie konto.
Konta usługowe bardzo często pozostają niezmieniane przez wiele lat, co zwiększa ryzyko ich kompromitacji.
Typowe niezgodności wykrywane podczas audytu
Podczas audytów systemów operacyjnych najczęściej spotykane są następujące problemy:
- zbyt duża liczba lokalnych administratorów,
- użytkownicy pracujący na kontach administracyjnych,
- aktywne konto Administrator z domyślną nazwą,
- brak zarządzania hasłami lokalnych administratorów,
- identyczne hasła administratorów lokalnych na wielu komputerach,
- nieaktywne konta administratorów,
- konta techniczne bez właściciela,
- współdzielone konta administracyjne,
- brak dokumentacji dotyczącej kont uprzywilejowanych,
- nadmierne uprawnienia kont usługowych.
Każda z tych niezgodności zwiększa ryzyko eskalacji uprawnień oraz przejęcia kontroli nad systemem.
Ocena ryzyka
Nieprawidłowe zarządzanie kontami administracyjnymi należy traktować jako ryzyko wysokie lub krytyczne.
Kompromitacja konta administratora może prowadzić do całkowitego przejęcia systemu operacyjnego, wyłączenia zabezpieczeń, uzyskania dostępu do poufnych danych oraz dalszego rozprzestrzeniania się ataku w sieci organizacji.
W przypadku kontrolerów domeny lub serwerów krytycznych skutki mogą obejmować kompromitację całej infrastruktury informatycznej.
Zalecenia audytowe
Organizacja powinna prowadzić centralny rejestr wszystkich kont uprzywilejowanych wraz z określeniem ich właścicieli oraz uzasadnieniem biznesowym.
Liczba administratorów lokalnych powinna zostać ograniczona do niezbędnego minimum, a użytkownicy powinni korzystać z oddzielnych kont administracyjnych i standardowych. Hasła lokalnych administratorów powinny być unikalne dla każdego urządzenia i zarządzane automatycznie, np. za pomocą Windows LAPS.
W systemach Linux zaleca się wyłączenie bezpośredniego logowania na konto root poprzez SSH oraz korzystanie z mechanizmu sudo z pełnym rejestrowaniem wykonywanych poleceń. Należy również regularnie przeglądać listę użytkowników posiadających uprawnienia administracyjne oraz usuwać konta nieużywane i osierocone.
Dodatkowo organizacja powinna wdrożyć rozwiązania klasy Privileged Access Management (PAM) lub Privileged Identity Management (PIM), umożliwiające kontrolę dostępu do kont uprzywilejowanych, czasowe nadawanie uprawnień oraz pełne rejestrowanie działań administratorów.
Powiązanie z normami i dobrymi praktykami
Kontrola zarządzania kontami lokalnymi i administracyjnymi realizuje wymagania normy ISO/IEC 27001:2022 dotyczące zarządzania tożsamością i uprawnieniami, wspiera funkcję Protect w NIST Cybersecurity Framework 2.0 oraz odpowiada zaleceniom CIS Controls v8 w zakresie zarządzania kontami, kontroli dostępu i stosowania zasady najmniejszych uprawnień. Dodatkowo jest zgodna z zaleceniami CIS Benchmarks dla systemów Windows i Linux dotyczącymi bezpiecznej konfiguracji kont uprzywilejowanych.
Podsumowanie
Prawidłowe zarządzanie kontami lokalnymi i administracyjnymi jest jednym z fundamentów bezpieczeństwa systemów operacyjnych. Nawet najlepiej zabezpieczony system może zostać skutecznie zaatakowany, jeśli osoba nieuprawniona uzyska dostęp do konta administratora lub konta root. Dlatego organizacja powinna dążyć do ograniczenia liczby kont uprzywilejowanych, stosowania zasady najmniejszych uprawnień, wykorzystywania oddzielnych kont administracyjnych oraz regularnego przeglądu nadanych uprawnień.
Audyt tego obszaru pozwala wykryć zarówno błędy konfiguracyjne, jak i nieprawidłowości organizacyjne, które często pozostają niezauważone przez wiele lat. Wdrożenie mechanizmów takich jak Windows LAPS, PAM, PIM, MFA dla kont uprzywilejowanych oraz cykliczna weryfikacja uprawnień znacząco ograniczają ryzyko przejęcia systemów przez osoby nieuprawnione i zwiększają odporność organizacji na współczesne cyberzagrożenia.
Dziękuję Ci, za poświęcony czas na przeczytanie tego artykułu. Jeśli był on dla Ciebie przydatny, to gorąco zachęcam Cię do zapisania się na mój newsletter, jeżeli jeszcze Cię tam nie ma. Proszę Cię także o “polubienie” mojego bloga na Facebooku oraz kanału na YouTube – pomoże mi to dotrzeć do nowych odbiorców. Raz w tygodniu (niedziela punkt 17.00) otrzymasz powiadomienia o nowych artykułach / projektach zanim staną się publiczne. Możesz również pozostawić całkowicie anonimowy pomysł na wpis/nagranie.
Link do formularza tutaj: https://beitadmin.pl/pomysly
Pozostaw również komentarz lub napisz do mnie wiadomość odpisuję na każdą, jeżeli Masz jakieś pytania:).
