Trả lời nhanh: Người dùng có quyền quản trị thì mọi phần mềm họ chạy cũng có quyền đó, gồm cả mã độc. Bỏ quyền quản trị là biện pháp rẻ nhất và hiệu quả nhất trong bảo mật doanh nghiệp. Cách làm không cản trở công việc là chuẩn bị trước các phần mềm nhân viên cần và có quy trình yêu cầu nhanh.
Đây là thay đổi tốn ít tiền nhất mà giảm rủi ro nhiều nhất. Bài này nói cách làm mà không làm nhân viên khó chịu.
- Người dùng có quyền quản trị thì mã độc chạy trên máy cũng có.
- Đây là biện pháp rẻ nhất và hiệu quả nhất trong bảo mật.
- Chuẩn bị trước phần mềm nhân viên cần để không cản trở công việc.
- Có quy trình yêu cầu cài phần mềm nhanh, không quá một ngày.
- Người quản trị cũng nên có hai tài khoản riêng.
Vì sao nó quan trọng
Nguyên tắc cốt lõi: phần mềm chạy với quyền của người đang đăng nhập.
Nếu người dùng có quyền quản trị, thì mọi thứ chạy trên máy họ cũng có quyền quản trị, gồm cả thứ họ vô tình chạy.
Bốn hậu quả cụ thể:
- Mã độc cài được vào tầng sâu của hệ thống, nơi phần mềm bảo vệ khó dọn sạch.
- Mã độc tắt được phần mềm bảo vệ.
- Người dùng cài được phần mềm không rõ nguồn gốc, đường vào phổ biến nhất của mã độc ở doanh nghiệp.
- Người dùng đổi được cấu hình bảo mật, vô tình hoặc theo hướng dẫn trên mạng.
Về mức độ hiệu quả: các tổ chức nghiên cứu bảo mật liên tục xếp việc bỏ quyền quản trị vào nhóm biện pháp hiệu quả nhất, vì nó chặn được một tỉ lệ lớn các lỗ hổng nghiêm trọng ngay cả khi máy chưa được vá.
Và nó không tốn tiền, chỉ tốn công tổ chức lại.
Vì sao nhiều công ty vẫn cấp
Bốn lý do, và cả bốn đều giải quyết được.
- Ngại phiền. Nhân viên cần cài gì lại phải hỏi, và bộ phận kỹ thuật thì bận. Giải pháp là chuẩn bị trước và có quy trình nhanh.
- Phần mềm nghiệp vụ đòi quyền quản trị để chạy. Đây là vấn đề thật với phần mềm cũ. Giải pháp là cấp quyền cho đúng thư mục hoặc dịch vụ mà phần mềm cần, thay vì cấp quyền cho cả người dùng.
- Không ai nghĩ tới. Máy được cài rồi giao, tài khoản đầu tiên mặc định là quản trị viên, và không ai đổi.
- Sếp muốn có quyền trên máy mình. Đây là vấn đề chính sách chứ không phải kỹ thuật, và tài khoản của lãnh đạo lại là mục tiêu giá trị nhất với kẻ tấn công.
Về lý do hai: khi phần mềm đòi quyền quản trị, hãy hỏi nhà cung cấp vì sao. Nhiều khi nó chỉ cần ghi vào một thư mục, và cấp quyền cho thư mục đó là đủ.
Cách làm mà không cản trở công việc
Sáu bước, và bước một quyết định thành bại.
- Chuẩn bị trước bộ phần mềm chuẩn mà nhân viên cần, cài sẵn khi giao máy. Nếu máy đã có sẵn thứ họ cần, họ không phải xin cài gì.
- Lập quy trình yêu cầu cài phần mềm với cam kết thời gian rõ ràng, chẳng hạn trong một ngày làm việc. Nhân viên chấp nhận việc phải xin nếu việc xin nhanh.
- Xác định phần mềm nào cần quyền quản trị để chạy và xử lý riêng từng cái.
- Chuyển tài khoản người dùng từ quản trị viên sang người dùng chuẩn. Trong Cài đặt, Tài khoản, hoặc bằng công cụ quản lý tập trung.
- Tạo một tài khoản quản trị riêng trên mỗi máy cho bộ phận kỹ thuật, với mật khẩu khác nhau mỗi máy.
- Thử với một phòng ban trước rồi mở rộng.
Về mật khẩu tài khoản quản trị cục bộ: đừng dùng cùng một mật khẩu cho mọi máy. Kẻ tấn công lấy được mật khẩu từ một máy là vào được cả dàn. Có công cụ của Microsoft để tự sinh và quản lý mật khẩu khác nhau cho từng máy.
Người quản trị cũng cần hai tài khoản
Đây là phần hay bị bỏ qua và nó quan trọng không kém.
Vấn đề: người quản trị dùng chính tài khoản có quyền cao nhất để đọc thư, duyệt web và làm việc hằng ngày. Khi đó nếu họ bấm nhầm vào một tệp đính kèm độc hại, mã độc chạy với quyền cao nhất của cả hệ thống.
Đây là kịch bản dẫn tới nhiều vụ mã độc mã hóa toàn bộ dữ liệu công ty.
Cách đúng: hai tài khoản riêng.
- Tài khoản thường cho công việc hằng ngày: thư, duyệt web, tài liệu.
- Tài khoản quản trị chỉ dùng khi cần thao tác quản trị, và chỉ đăng nhập vào lúc đó.
Ba nguyên tắc cho tài khoản quản trị:
- Không dùng nó để đọc thư hay duyệt web.
- Bật xác thực nhiều yếu tố.
- Đặt mật khẩu khác hoàn toàn với tài khoản thường.
Xử lý các trường hợp khó
Bốn tình huống hay gặp và cách giải quyết.
- Phần mềm nghiệp vụ đòi quyền quản trị. Tìm hiểu nó cần gì cụ thể. Thường là quyền ghi vào một thư mục hoặc một khóa trong sổ đăng ký. Cấp quyền cho đúng chỗ đó cho nhóm người dùng.
- Nhân viên cần cài phần mềm thường xuyên, chẳng hạn nhà phát triển. Cân nhắc cho họ một máy riêng có quyền quản trị nhưng tách khỏi mạng chính, hoặc dùng máy ảo.
- Máy dùng ngoài văn phòng, khó hỗ trợ tại chỗ. Dùng công cụ hỗ trợ từ xa, hoặc công cụ cho phép nâng quyền tạm thời cho một thao tác cụ thể.
- Lãnh đạo yêu cầu có quyền. Giải thích rằng tài khoản của họ là mục tiêu giá trị nhất. Nếu vẫn cần, ít nhất tách hai tài khoản như với người quản trị.
Cách thuyết phục hiệu quả nhất: không nói về kỹ thuật mà nói về hậu quả. Một máy nhiễm mã độc mã hóa dữ liệu có thể làm dừng hoạt động cả công ty vài ngày. Bỏ quyền quản trị là biện pháp không tốn tiền để giảm mạnh khả năng đó.
Bảng nhu cầu thật và cách đáp ứng không cần quyền quản trị
| Nhu cầu thật của nhân viên | Giải pháp không cần cấp quyền quản trị |
|---|---|
| Cài phần mềm cần cho công việc | Đẩy phần mềm qua hệ thống quản lý thiết bị, hoặc kho ứng dụng nội bộ |
| Cài máy in mới | Cài sẵn máy in qua chính sách, hoặc cho phép riêng loại thao tác này |
| Đổi cài đặt mạng khi đi công tác | Phần lớn thao tác này không cần quyền quản trị |
| Cập nhật phần mềm chuyên ngành | Đưa vào danh sách cho phép cập nhật, hoặc bộ phận kỹ thuật làm theo lịch |
| Lập trình viên cần cài công cụ | Cấp máy riêng có quyền, hoặc cho làm việc trên máy chủ phát triển |
Nguyên tắc: mỗi lần nhân viên cần quyền quản trị, hỏi họ cần làm gì cụ thể. Gần như luôn có cách đáp ứng nhu cầu đó mà không phải cấp quyền vĩnh viễn.
Vì sao đây là biện pháp hiệu quả nhất
- Phần lớn mã độc cần quyền quản trị để cài sâu vào hệ thống. Người dùng không có quyền thì thiệt hại giới hạn trong hồ sơ của họ.
- Ngăn được việc gỡ phần mềm bảo vệ, dù vô tình hay cố ý.
- Giữ cấu hình máy đồng nhất, nên hỗ trợ kỹ thuật nhanh hơn hẳn.
- Đây là biện pháp một lần mà chặn được nhiều loại sự cố nhất, và không tốn tiền.
Tách tài khoản hằng ngày và tài khoản quản trị
:: Tai khoan thu nhat: dung hang ngay, KHONG co quyen quan tri :: doc thu, duyet web, hop hanh :: Tai khoan thu hai: chi dung khi can lam viec quan tri :: Kiem tai khoan nao dang co quyen quan tri tren may net localgroup Administrators :: Go mot tai khoan khoi nhom quan tri net localgroup Administrators TEN_TAI_KHOAN /delete :: Chay mot lenh bang tai khoan quan tri ma khong dang xuat runas /user:MAY\quantri "cmd.exe"
Lý do: tài khoản quản trị đọc thư và duyệt web là tài khoản có rủi ro cao nhất trong công ty. Một liên kết độc hại mở bằng tài khoản đó gây hậu quả nghiêm trọng hơn nhiều so với mở bằng tài khoản thường.
Phần mềm nghiệp vụ đòi quyền quản trị
- Phần mềm nghiệp vụ đòi quyền quản trị để chạy: phần lớn trường hợp chỉ cần cấp quyền ghi cho một thư mục cụ thể. Hỏi nhà cung cấp phần mềm.
- Giám đốc yêu cầu có quyền: đây là tài khoản bị nhắm nhiều nhất. Giải thích rủi ro, và đề xuất phương án cấp quyền tạm thời khi cần.
- Máy cá nhân nhân viên dùng cho công việc: không cấp quyền được, nên tách phần dữ liệu công ty ra và quản lý riêng phần đó.
Câu hỏi thường gặp
Bỏ quyền quản trị có làm nhân viên không làm việc được không
Không nếu bạn chuẩn bị trước bộ phần mềm chuẩn và có quy trình yêu cầu nhanh. Phần lớn phàn nàn đến từ việc xin cài phần mềm mất quá lâu, không phải từ bản thân việc bỏ quyền.
Phần mềm nghiệp vụ đòi quyền quản trị thì sao
Hỏi nhà cung cấp nó cần gì cụ thể. Thường chỉ cần quyền ghi vào một thư mục hoặc một khóa trong sổ đăng ký, và cấp quyền cho đúng chỗ đó là đủ.
Người quản trị có cần hai tài khoản không
Có, và đây là điểm hay bị bỏ qua. Dùng tài khoản quyền cao nhất để đọc thư hằng ngày là kịch bản dẫn tới nhiều vụ mã độc nghiêm trọng.
Mật khẩu tài khoản quản trị cục bộ nên đặt thế nào
Khác nhau trên mỗi máy. Dùng cùng một mật khẩu cho cả dàn máy nghĩa là kẻ tấn công lấy được từ một máy là vào được tất cả. Microsoft có công cụ tự quản lý việc này.
