Lokaler Admin & Domänenadmin = gleiches Passwort -> Risiko für Server?

[edvlabor 10]

Ich wollte mal eure Meinungen hören, was schlimmstenfalls so alles für den Server eintreten kann wenn an den Clients im Netzwerk das gleiche PW für den lokalen Admin vergeben ist wie am Server (DC) für den Domänenadmin und die jeweils angemeldeten Benutzer sich in der Administratoren Gruppe befinden.

 

Das damit der Client leicht übernommen werden kann und z.B. auch das lokale Admin PW geändert werden kann ist klar - aber mich interessiert vor allem das Risiko für den Domänenadmin Account bzw. den Server. Es heisst ja immer man soll für die beiden Admins unterschiedliche PW benutzen aber so ganz ist mir der Sinn dieser Aussage nicht ganz klar.

[sash_mich 10]

Stell dir einfach mal vor du hättest für deine Wohnung ...dein Auto ....dein Fahrrad ...dein Boot...dein Keller...die Wohnung deiner Freundin...deinen Reisekoffer....dein Büro.....den selben schlüssel!!

 

Wehe du verlierst Ihn mal..oder musst Ihn rausrücken weil du im Urlaub bist und jemand anderst muss was richten weil nix mehr läuft!!!

 

Keine besonderst gute IDEE...

 

Ist wars***einlich auch schon mal jedem passiert:

"Du sitzt am Problem PC...voll im Stress und musst dich als Admin anmelden...vor lauter hektik kommst du nicht richtig auf die TAB taste....und schon tippst du beim beim Benutzername ..für alle sichtbar dein passwort ein!!

 

Mit Technischen details fangen wir lieber mal nicht an!!

[edv-olaf 10]

Ich wollte mal eure Meinungen hören, was schlimmstenfalls so alles für den Server eintreten kann wenn an den Clients im Netzwerk das gleiche PW für den lokalen Admin vergeben ist wie am Server (DC) für den Domänenadmin.

- Der Server wird von einem Hacker vollständig übernommen, obwohl alle Sicherheitspatches drauf sind.

- Ein Anwender erlangt innerhalb kurzer Zeit vollen Zugriff auf den Server - und keiner merkt es.

 

Reicht das?

Grüße

Olaf

[edvlabor 10]

Ein Anwender erlangt innerhalb kurzer Zeit vollen Zugriff auf den Server - und keiner merkt es

 

Kannst du diesen Satz irgendwie technisch begründen? Die Benutzer wissen nämlich das Admin PW nicht. Sie könnten zwar das PW das lokalen Admins ändern und sich dann als dieser einloggen aber sobald sie das PW ändern ist es ja nicht mehr gleich dem des Domänenadmins. Und auslesen lässt sich das PW des Admins ja nicht ...

 

Ich wollte auch nicht auf Hacker hinaus, sondern was der normale Benutzer schlimmstenfalls anstellen kann.

[frapos 11]

Der "normale" User sollte eh nie adminrechte erlangen ;)

[edv-olaf 10]

Kannst du diesen Satz irgendwie technisch begründen?

Und auslesen lässt sich das PW des Admins ja nicht ...

 

Ich wollte auch nicht auf Hacker hinaus, sondern was der normale Benutzer schlimmstenfalls anstellen kann.

Unter 100 normalen Usern hast du etwa (grob geschätzt) 25% mit der Energie und dem Wissen, Sicherheits-Policies umgehen zu können. Du darfst nicht vergessen, dass weit über 50% der Angriffe auf Firmen-IT-Strukturen nicht von Außen sondern von innerhalb der Firma kommen!

 

Somit kannst du durchaus unterstellen, dass *immer* mindestens 1 User in der Firma die kriminelle Energie hat, zu hacken.

Dieser nimmt bekannte Werkzeuge, die es bei physikalischem Zugriff auf eine Workstation erlauben, dass lokale Administrator-Kennwort auszulesen. Und dann hat er halt Zugriff, bei gleichem Domänen-Admin-Kennwort auch auf den Server.

 

Grüße

Olaf