Jednym z kluczowych elementów bezpieczeństwa systemów operacyjnych jest właściwe zarządzanie uprawnieniami administracyjnymi podczas wykonywania codziennych czynności. W środowisku Microsoft Windows mechanizmem odpowiedzialnym za ograniczenie niekontrolowanego wykonywania operacji administracyjnych jest User Account Control (UAC), natomiast w systemach Linux analogiczną funkcję pełni mechanizm sudo, umożliwiający wykonywanie wybranych poleceń z podwyższonymi uprawnieniami.
Celem kontroli jest ocena, czy organizacja prawidłowo skonfigurowała mechanizmy eskalacji uprawnień, ograniczyła możliwość nieautoryzowanego wykonywania operacji administracyjnych oraz wdrożyła rozwiązania umożliwiające identyfikację osób wykonujących działania uprzywilejowane. Audyt powinien potwierdzić, że użytkownicy pracują z minimalnym zakresem uprawnień, a dostęp administracyjny jest przyznawany wyłącznie w sytuacjach uzasadnionych potrzebami biznesowymi.
Znaczenie kontroli eskalacji uprawnień
Jednym z najczęściej wykorzystywanych elementów współczesnych cyberataków jest eskalacja uprawnień. Nawet jeśli napastnik uzyska dostęp do konta standardowego użytkownika, kolejnym etapem jego działań jest zazwyczaj próba zdobycia uprawnień administratora lub użytkownika root. Osiągnięcie tego celu pozwala na wyłączenie mechanizmów ochronnych, instalację złośliwego oprogramowania, modyfikację konfiguracji systemu oraz przejęcie kontroli nad urządzeniem.
Mechanizmy UAC i sudo zostały zaprojektowane właśnie po to, aby ograniczyć możliwość wykonywania działań administracyjnych bez wyraźnej autoryzacji oraz zapewnić rozliczenie wykonywanych operacji. Ich niewłaściwa konfiguracja znacząco zwiększa ryzyko skutecznego przeprowadzenia ataku oraz utrudnia analizę incydentów bezpieczeństwa.
User Account Control (UAC) w systemach Windows
User Account Control jest mechanizmem bezpieczeństwa wprowadzonym przez firmę Microsoft w celu ograniczenia wykonywania operacji administracyjnych przez użytkowników pracujących na kontach posiadających podwyższone uprawnienia.
Mechanizm ten powoduje, że nawet administrator lokalny wykonuje większość codziennych czynności z wykorzystaniem standardowego tokenu bezpieczeństwa. Dopiero w momencie wykonywania operacji wymagającej podwyższonych uprawnień system wyświetla monit o zgodę lub ponowne uwierzytelnienie.
Takie rozwiązanie ogranicza możliwość automatycznego uruchamiania złośliwego oprogramowania z pełnymi uprawnieniami administratora.
Mechanizm sudo w systemach Linux
W systemach Linux standardową metodą wykonywania operacji administracyjnych jest polecenie sudo.
Mechanizm ten umożliwia czasowe wykonywanie wybranych poleceń z uprawnieniami użytkownika root bez konieczności logowania się bezpośrednio na konto administratora systemu.
Każde wykonanie polecenia sudo może zostać zapisane w dziennikach systemowych wraz z informacją o użytkowniku, czasie wykonania oraz uruchomionym poleceniu. Dzięki temu możliwe jest pełne odtworzenie działań administratorów oraz zapewnienie rozliczenia operacji administracyjnych.
Prawidłowo skonfigurowany mechanizm sudo znacząco zwiększa poziom bezpieczeństwa w porównaniu z pracą bezpośrednio na koncie root.
Zakres kontroli audytowej
Audyt powinien obejmować wszystkie systemy operacyjne funkcjonujące w organizacji, zarówno stacje robocze, jak i serwery.
Kontroli podlegają między innymi:
- konfiguracja UAC,
- konfiguracja sudo,
- możliwość wyłączenia mechanizmów ochronnych,
- członkostwo w grupach administracyjnych,
- konfiguracja pliku sudoers,
- stosowanie zasady najmniejszych uprawnień,
- rejestrowanie działań administracyjnych,
- monitorowanie prób eskalacji uprawnień,
- zabezpieczenie kont administratorów.
Weryfikacja konfiguracji User Account Control
Podczas audytu środowiska Windows należy sprawdzić sposób konfiguracji mechanizmu UAC.
Analizie podlegają między innymi:
- poziom ochrony UAC,
- możliwość wyłączenia UAC przez użytkownika,
- sposób obsługi monitów administracyjnych,
- wymaganie podania poświadczeń administratora,
- konfiguracja zasad grup odpowiedzialnych za UAC,
- stosowanie podpisanych aplikacji,
- ochrona przed automatycznym podnoszeniem uprawnień.
Audytor powinien zwrócić uwagę, czy organizacja nie obniżyła poziomu zabezpieczeń UAC w celu ułatwienia pracy użytkownikom. Często spotykaną nieprawidłowością jest całkowite wyłączenie mechanizmu lub ustawienie najniższego poziomu powiadomień.
W środowiskach korporacyjnych zaleca się centralne zarządzanie konfiguracją UAC z wykorzystaniem Group Policy.
Weryfikacja konfiguracji sudo
Podczas audytu systemów Linux szczególnej analizie podlega konfiguracja mechanizmu sudo.
Audytor powinien sprawdzić:
- kto posiada możliwość wykonywania poleceń sudo,
- jakie grupy posiadają uprawnienia administracyjne,
- czy użytkownicy mają dostęp do wszystkich poleceń,
- czy stosowane są ograniczenia dotyczące konkretnych poleceń,
- czy wymagane jest ponowne uwierzytelnienie,
- czy wykorzystywany jest plik sudoers,
- czy konfiguracja została podzielona na katalog sudoers.d,
- czy wykonywane polecenia są rejestrowane.
Bardzo ważnym elementem kontroli jest ocena, czy użytkownicy posiadają wyłącznie takie uprawnienia sudo, które są niezbędne do wykonywania powierzonych obowiązków.
Analiza pliku sudoers
Plik sudoers określa, którzy użytkownicy mogą wykonywać polecenia z podwyższonymi uprawnieniami.
Podczas kontroli należy zweryfikować:
- poprawność składni,
- wykorzystanie grup zamiast pojedynczych użytkowników,
- stosowanie aliasów,
- ograniczenie wykonywanych poleceń,
- brak wpisów typu ALL=(ALL) ALL dla zwykłych użytkowników,
- stosowanie zasady najmniejszych uprawnień,
- dokumentację wyjątków.
Niepoprawna konfiguracja pliku sudoers może prowadzić do przyznania nadmiernych uprawnień lub umożliwić nieautoryzowaną eskalację uprawnień.
Weryfikacja bezpośredniego logowania administratorów
W obu środowiskach należy sprawdzić sposób korzystania z kont administracyjnych.
Administratorzy Windows nie powinni wykonywać codziennych czynności na kontach uprzywilejowanych.
W systemach Linux zaleca się:
- wyłączenie bezpośredniego logowania użytkownika root przez SSH,
- stosowanie logowania standardowym kontem,
- wykorzystywanie sudo do wykonywania pojedynczych poleceń,
- ograniczenie liczby użytkowników posiadających dostęp do konta root.
Takie podejście umożliwia pełną identyfikację osoby wykonującej operacje administracyjne.
Monitorowanie działań administracyjnych
Audyt powinien obejmować również ocenę mechanizmów rejestrowania operacji wykonywanych z podwyższonymi uprawnieniami.
Należy sprawdzić:
- czy wykonywane polecenia są logowane,
- czy logi są przekazywane do systemu SIEM,
- czy możliwe jest ustalenie użytkownika wykonującego operację,
- czy monitorowane są próby eskalacji uprawnień,
- czy organizacja analizuje nietypowe działania administratorów.
Brak odpowiedniego monitorowania znacząco utrudnia wykrywanie incydentów bezpieczeństwa oraz prowadzenie analiz powłamaniowych.
Typowe niezgodności wykrywane podczas audytu
Podczas audytów najczęściej identyfikowane są następujące problemy:
- wyłączony mechanizm UAC,
- najniższy poziom ochrony UAC,
- administratorzy pracujący stale na kontach uprzywilejowanych,
- zbyt szerokie uprawnienia sudo,
- wpisy ALL=(ALL) ALL przyznane wielu użytkownikom,
- brak dokumentacji dotyczącej uprawnień sudo,
- możliwość bezpośredniego logowania użytkownika root,
- brak rejestrowania poleceń wykonywanych z użyciem sudo,
- niekontrolowane grupy administracyjne,
- brak okresowych przeglądów uprawnień.
Takie niezgodności zwiększają ryzyko eskalacji uprawnień oraz utrudniają identyfikację sprawców incydentów bezpieczeństwa.
Ocena ryzyka
Nieprawidłowa konfiguracja mechanizmów UAC oraz sudo zwiększa prawdopodobieństwo skutecznego przejęcia systemu operacyjnego po uzyskaniu dostępu do konta użytkownika.
Ryzyko należy uznać za wysokie lub krytyczne w przypadku wyłączenia UAC, możliwości bezpośredniego logowania użytkownika root, nadmiernych uprawnień sudo lub braku monitorowania operacji administracyjnych.
W systemach krytycznych konsekwencją może być całkowite przejęcie infrastruktury, wyłączenie zabezpieczeń oraz nieautoryzowany dostęp do poufnych danych.
Zalecenia audytowe
Organizacja powinna pozostawić mechanizm User Account Control włączony na wszystkich stacjach roboczych i serwerach z systemem Windows oraz zarządzać jego konfiguracją centralnie za pomocą zasad grup. Nie należy obniżać poziomu ochrony wyłącznie w celu zwiększenia wygody użytkowników.
W systemach Linux zaleca się wyłączenie możliwości bezpośredniego logowania użytkownika root, stosowanie mechanizmu sudo zgodnie z zasadą najmniejszych uprawnień oraz ograniczanie dostępu do konkretnych poleceń administracyjnych. Konfiguracja pliku sudoers powinna być regularnie przeglądana, a wszystkie zmiany odpowiednio dokumentowane.
W obu środowiskach należy prowadzić centralne monitorowanie działań administracyjnych, przekazywać logi do systemu SIEM oraz okresowo weryfikować listę użytkowników posiadających możliwość eskalacji uprawnień. W środowiskach o podwyższonych wymaganiach bezpieczeństwa warto wdrożyć rozwiązania klasy Privileged Access Management (PAM), umożliwiające kontrolę, rejestrowanie oraz czasowe nadawanie uprawnień administracyjnych.
Powiązanie z normami i dobrymi praktykami
Kontrola konfiguracji UAC i sudo jest zgodna z wymaganiami ISO/IEC 27001:2022 dotyczącymi zarządzania uprawnieniami uprzywilejowanymi, kontroli dostępu oraz bezpiecznej konfiguracji systemów. Wspiera funkcję Protect w NIST Cybersecurity Framework 2.0 oraz odpowiada zaleceniom CIS Controls v8 w zakresie zarządzania kontami uprzywilejowanymi i bezpiecznej konfiguracji systemów operacyjnych. Kontrola uwzględnia również rekomendacje CIS Benchmarks dla Microsoft Windows oraz najpopularniejszych dystrybucji Linux, które zalecają pozostawienie aktywnego mechanizmu UAC, wyłączenie bezpośredniego logowania użytkownika root oraz stosowanie szczegółowo zdefiniowanych uprawnień w pliku sudoers.
Podsumowanie
Mechanizmy User Account Control oraz sudo pełnią kluczową rolę w ograniczaniu ryzyka nieautoryzowanej eskalacji uprawnień i stanowią jeden z podstawowych elementów bezpiecznej konfiguracji systemów operacyjnych. Ich prawidłowe wdrożenie pozwala znacząco ograniczyć skutki przejęcia kont użytkowników, zwiększa rozliczenie działań administratorów oraz utrudnia cyberprzestępcom uzyskanie pełnej kontroli nad systemem.
Z perspektywy audytora szczególnie istotna jest nie tylko ocena samej konfiguracji UAC i sudo, ale również analiza sposobu nadawania uprawnień administracyjnych, monitorowania operacji uprzywilejowanych oraz zgodności z zasadą najmniejszych uprawnień. Regularne przeglądy konfiguracji, centralne zarządzanie ustawieniami oraz wdrożenie rozwiązań klasy PAM pozwalają utrzymać wysoki poziom bezpieczeństwa zarówno w środowiskach Windows, jak i Linux, minimalizując ryzyko wynikające z nadużycia uprawnień administracyjnych.
Dziękuję Ci, za poświęcony czas na przeczytanie tego artykułu. Jeśli był on dla Ciebie przydatny, to gorąco zachęcam Cię do zapisania się na mój newsletter, jeżeli jeszcze Cię tam nie ma. Proszę Cię także o “polubienie” mojego bloga na Facebooku oraz kanału na YouTube – pomoże mi to dotrzeć do nowych odbiorców. Raz w tygodniu (niedziela punkt 17.00) otrzymasz powiadomienia o nowych artykułach / projektach zanim staną się publiczne. Możesz również pozostawić całkowicie anonimowy pomysł na wpis/nagranie.
Link do formularza tutaj: https://beitadmin.pl/pomysly
Pozostaw również komentarz lub napisz do mnie wiadomość odpisuję na każdą, jeżeli Masz jakieś pytania:).
