Pasos para controlar los derechos de administrador local

Los profesionales de TI necesitan derechos de administrador local en dispositivos corporativos para instalar software, modificar configuraciones, realizar solución de problemas y demás. Pero con demasiada frecuencia, a los usuarios de negocios también se les otorgan rutinariamente derechos de administrador local en sus computadoras.

Si bien otorgar a los usuarios estos derechos puede ser conveniente, crea serias brechas de seguridad. En primer lugar, los propios usuarios pueden instalar intencionalmente aplicaciones no aprobadas o modificar configuraciones para agilizar su trabajo, sin un entendimiento suficiente de los riesgos de seguridad que podrían estar introduciendo. Además, cualquier usuario puede ser víctima de un ataque de ingeniería social — por ejemplo, abren un archivo adjunto malicioso o hacen clic en un enlace malicioso en un correo electrónico de phishing. Pero si el usuario tiene derechos de administrador local, pueden instalar inadvertidamente malware, lo que potencialmente podría capturar o explotar esos derechos de administrador para robar datos o causar otros daños.

Por lo tanto, es una mejor práctica eliminar los derechos de administrador local de los usuarios de negocios en cada computadora. Aquí están los 4 pasos a seguir para implementar esta práctica de seguridad fundamental.

Paso 1: Descubra quién tiene acceso de administrador local.

El primer paso es identificar a todos los usuarios que tienen derechos de administrador local en cada servidor y escritorio. En un sistema Windows, a los usuarios se les puede otorgar acceso de administrador local a través de la membresía en el grupo de Administradores Locales de una de las siguientes maneras:

• Membresía directa de grupo — La cuenta de usuario está registrada como miembro del grupo.
• Membresía indirecta (anidada) de grupo — La cuenta de usuario es miembro de otro grupo, y ese grupo es miembro del grupo de Administradores Locales.

En general, es prudente evitar la anidación con grupos privilegiados, ya que hace más difícil determinar quién tiene exactamente derechos de acceso privilegiado.

Lamentablemente, no existen herramientas nativas que puedan proporcionar una lista completa de los administradores locales en cada sistema de su infraestructura de TI. Sin embargo, una solución de terceros como Netwrix Privilege Secure puede brindarle total visibilidad sobre la membresía de cada uno de sus grupos privilegiados, incluyendo los grupos de Administradores Locales en sus servidores y estaciones de trabajo Windows. Además, Netwrix Privilege Secure auditará todos los cambios en sus grupos privilegiados y le alertará sobre actividades sospechosas.

Paso 2: Haga que los propietarios de grupos revisen y den fe de la membresía del grupo.

El siguiente paso es determinar el propietario de cada grupo de administrador local. Esta puede ser una tarea desafiante, por lo que considere usar una solución que pueda identificar automáticamente a los probables propietarios del grupo.

Entonces, el propietario de cada grupo debe revisar cuidadosamente su membresía, con el objetivo de eliminar los derechos de acceso de administrador local que no sean necesarios para reducir el área de superficie de ataque de la organización. Este proceso de revisión y atestiguamiento debe repetirse en un horario regular.

Paso 3. Asegúrese de que cada cuenta de administrador local tenga una contraseña única.

En muchas organizaciones, la cuenta de administrador local predeterminada en cada dispositivo Windows tiene el mismo nombre de usuario y contraseña. Por lo tanto, un adversario que obtenga esas credenciales en una sola máquina tiene acceso administrativo a todas las máquinas, por lo que puede moverse lateralmente a voluntad a través de su dominio.

Para ayudar, Microsoft ofrece Windows Local Access Password Solution (LAPS). LAPS garantizará que cada computadora en un dominio tenga una contraseña única para la cuenta de administrador local, así como cambiar automáticamente la contraseña del administrador local en un intervalo configurado. LAPS se puede implementar usando Group Policy o Intune.

Paso 4: Empoderar a los usuarios y administradores para realizar sus tareas requeridas de manera segura.

El principio de mínimo privilegio es una piedra angular de la seguridad: Cada usuario debe tener solo los privilegios que necesita para realizar su trabajo. Limitar los derechos de administrador local es un paso importante en la aplicación del mínimo privilegio — pero tanto los administradores como los usuarios de negocio a veces necesitan realizar tareas que requieren esos derechos.

Con la funcionalidad nativa de Windows, podrías tener administradores que inicien sesión en una máquina usando una cuenta sin privilegios y luego usar la opción “ejecutar como administrador” para cualquier tarea que requiera derechos elevados. Sin embargo, este enfoque todavía requiere cuentas de administrador permanentes, las cuales están sujetas a mal uso por parte de sus propietarios y compromiso por adversarios. Una buena alternativa es usar una solución de Privileged Access Management (PAM) que reemplaza las cuentas privilegiadas permanentes con cuentas bajo demanda que tienen justo el acceso necesario para realizar la tarea en cuestión y se eliminan automáticamente después. Como resultado, tendrás casi ninguna cuenta administrativa permanente de la cual preocuparte constantemente.

Para permitir que los usuarios de negocio eviten los avisos de UAC y ejecuten las aplicaciones específicas que necesitan — sin otorgarles derechos de administrador local, considere Netwrix Endpoint Policy Manager Least Privilege Manager. Esta poderosa solución también puede prevenir que los usuarios descarguen o instalen ransomware u otros ejecutables no deseados.

Conclusión

Controlar estrictamente el acceso privilegiado es vital para evitar costosas brechas, tiempos de inactividad y sanciones de cumplimiento. Con las herramientas adecuadas, puede eliminar los derechos de administrador local de los usuarios empresariales sin perjudicar su capacidad para realizar su trabajo, reduciendo drásticamente su superficie de ataque.