Artikel top billede

Dette enkle trick fjerner ni ud af ti sårbarheder

Klumme: Luk for brugernes administratorrettigheder, det giver en solid sikkerhedsgevinst. Men det kræver en holdningsændring.

Med en enkel ændring kan du forhindre angribere i at udnytte ni ud af ti sårbarheder.

Du skal blot fjerne administratorprivilegierne fra dine Windows-brugeres konti.

Teknisk set er det ikke kompliceret. Det er heller ikke nyt.

Sikkerhedseksperter har i mange år argumenteret for, at almindelige brugere bør være logget ind på en konto uden administratorprivilegier.

Når man er administrator, må man alt på computeren: Installere programmer, installere drivere, ændre firewall-opsætning og hvad man ellers har lyst til.

Nogle sårbarheder giver angribere mulighed for at køre programmer med samme privilegier som den bruger, der er logget ind, når sårbarheden aktiveres.

Dermed kan angriberen fuldstændig det samme som brugeren:

Installere programmer og ændre på væsentlige indstillinger.
Hvis man fjerner administratorprivilegierne, fjerner man ikke sårbarhederne.

Men man begrænser den skade, de kan medføre.

Virker på 97 procent

En analyse fra firmaet Avecto viste for nylig, hvor effektiv metoden er. Firmaet har analyseret de 240 sårbarheder, som Microsoft rettede i 2014.

Analysen viser, at 97 procent af de kritiske sårbarheder får mindsket deres skadevirkning, hvis man fjerner administratorprivilegierne.

For Internet Explorer var andelen helt oppe på 99,5 procent.

Tilsvarende analyser har tidligere peget i samme retning. I 2009 viste en analyse fra BeyondTrust, at ni ud af ti kritiske sårbarheder i Windows 7 blev uskadeliggjort med metoden.

Begrænser man mængden af administratorkonti, mindsker man også risikoen ved såkaldte pass-the-hash-angreb.

Det er angreb, hvor angriberen opsnapper den hashværdi, der autentificerer en bruger på et system.

Hvis brugeren har begrænsede privilegier, mindsker det risikoen. Angriberen kan måske overtage brugerens session, men han eller hun kan ikke volde alvorlig skade.

En klar anbefaling

Center for Cybersikkerhed udsendte for halvandet år siden anbefalingen "Cyberforsvar der virker".

Den anbefaler, at man begynder med at implementere fire sikringstiltag - og et af dem er netop at begrænse antallet af konti med domæne- eller lokaladministatorprivilegier.

Det skulle altså være ganske enkelt: Fjern administratorprivilegierne og slip for en masse sikkerhedsrisici.

Alligevel er jeg overbevist om, at rigtig mange danske pc-brugere i både den offentlige og den private sektor har fuld kontorl over deres computere - de er det, der i Windows-sammenhæng kaldes lokal administrator.

Det skulle ikke undre mig, om det er flertallet.

Kulturel barriere

Hvorfor undlader vi at bruge et oplagt middel til at øge sikkerheden?

Jeg tror, en del af forklaringen er historisk og kulturel.

Da pc'erne kom frem, udgjorde de et brud med den centrale kontrol, edb-afdelingen havde udøvet.

Før pc'en måtte enhver bruger rette sig efter de regler, edb-folkene udstak.

Med pc'en fik brugeren kontrol over sin computer.

Han eller hun kunne installere et regnearksprogram og selv udføre de beregninger, som edb-afdelingen ellers brugte måneder på at tilrette de centrale systemer til.

Jeg kommer fra universitetsverdenen.

Der hersker en stolt tradition for, at hver forsker og underviser selv vælger sine værktøjer - og naturligvis har hånd- og halsret over dem.

Noget lignende findes utvivlsomt i mange professioner. Hvem tør fortælle en ingeniør, at han ikke må installere programmer på sin pc?

Teknologi letter opgaven

Heldigvis er teknologien på vores side.

Stadig flere programmer kan i dag installeres uden administratorprivilegier.

Og Microsoft har gjort det enklere at være standardbruger: Man slipper for de bunker af advarsler, som UAC (User Account Control) kom med, da det blev indført i Windows Vista.

Alligevel er det ikke alle organisationer, der kan løse problemet blot ved at flytte fluebenet fra administrator til standardbruger, når de opretter brugere.

Er der brug for mere avanceret styring af privilegierne, findes der en række værktøjer, man kan investere i.

De giver for eksempel mulighed for at indføre undtagelser, hvor teknologien kræver det - så en medarbejder kan køre et enkelt program med administratorprivilegier uden at være administrator.

Vi savner en kulturændring

Men teknologiske løsninger er ikke nok.
De sikkerhedsansvarlige må lære deres brugere, hvorfor det giver bedre sikkerhed at fjerne administratorprivilegierne.

Og de skal lytte til brugerne og afgøre, om der er legitime begrundelser for at indføre undtagelser.

Der er brug for en kulturændring.

Kan vi gennemføre den, kan vi højne informationssikkerheden væsentligt.

DKCERT (www.cert.dk) er et dansk Computer Security Incident Response Team, der håndterer sikkerhedshændelser på forskningsnettet.

I samarbejde med tilsvarende organisationer over hele verden indsamler DKCERT information om internetsikkerhed. DKCERT er en organisation i DeIC, DTU.

Henrik Larsen opdaterer en gang om måneden Computerworlds læsere med de seneste tendenser inden for informationssikkerhed.




Brancheguiden
Brancheguide logo
Opdateres dagligt:
Den største og
mest komplette
oversigt
over danske
it-virksomheder
Hvad kan de? Hvor store er de? Hvor bor de?
Hewlett-Packard ApS
Udvikling og salg af software, hardware, konsulentydelser, outsourcing samt service og support.

Nøgletal og mere info om virksomheden
Skal din virksomhed med i Guiden? Klik her

Kommende events
CFO'ens hverdag med Dynamics 365 FO: Nye muligheder - mere værdi

Microsoft Dynamics 365 for Finance and Operations (FO) er meget mere end debet/kredit. Indbyggede værktøjer til at automatisere processer og bruge kunstig intelligens skaber nye muligheder og mere værdi.

29. november 2022 | Læs mere


AI & machine learning i dagligdagen – teknologi og best practice

Kunstig intelligens og machine learning er i gang med at forandre de måder, som vi arbejder på i organisationer og virksomheder - både i det store og i det små. Bliv inspireret til hvordan kan du selv udnytte dem til at gøre din organisation klogere, skarpere og mere effektiv.

06. december 2022 | Læs mere


ERP løsninger til SMV segmentet

For små og mellemstore virksomheder gemmer der sig meget store muligheder for effektivisering og data-udnyttelse i valget af ERP-system. Med det rigtige valg kan man udnytte eksempelvis machine learning, AI, procesautomatisering og meget andet på tværs af hele organisationen til blandt andet lagerstyring, produktion, distribution, intelligent afrapportering.

07. december 2022 | Læs mere