Heving av rettigheter via servicedesken blir et presserende spørsmål så snart en virksomhet fjerner lokale administratorrettigheter, og det har alltid samme form: Hva skjer når noen virkelig trenger å installere noe klokka halv fem en fredag? Det ærlige svaret i de fleste virksomheter er at en tekniker taster inn et delt lokalt administratorpassord, og at alle er enige om ikke å tenke for mye over det.
Passordet er ikke problemet. Det er et symptom på en manglende mekanisme – muligheten til å godkjenne én bestemt handling på én bestemt maskin i en kort periode, uten å gi noen et knippe nøkler.
Hvorfor det delte lokale administratorpassordet overlever alle policyer som forbyr det
Det overlever fordi det fungerer, og fordi alternativene som tilbys, som regel er verre for den som skal gjøre jobben.
Omfanget er hele maskinen
Et lokalt administratorpassord gir tilgang til alt på maskinen, ikke bare den ene tingen brukeren trengte. Teknikeren som taster det inn, tar ikke en beslutning om å installere en driver; vedkommende gir ubegrenset lokal kontroll og håper at situasjonen forblir slik den ble beskrevet.
Det registrerer ingen beslutning
Påloggingsinformasjon gir en person fullmakt til å handle. Den fanger ikke opp hvilken handling teknikeren godkjente, etter hvilken regel, eller hvor lenge perioden med hevede rettigheter burde ha vart. Der arbeidsflyten går lenger og legger brukeren til i den lokale Administrators-gruppen, har rettigheten ingen sluttdato i det hele tatt – den varer til noen husker å reversere den.
Sporbarheten stopper ved kontoen
Noe sporbarhet finnes som regel – administrert påloggingsinformasjon logger hver gang den hentes, og individuelle administratorkontoer identifiserer teknikeren. Det som mangler, er kjeden: hvilken person, på hvilken enhet, ba om hvilken handling, godkjent av hvem, hvor lenge og med hvilket resultat. Når noe går galt tre uker senere, starter undersøkelsen fra en konto i stedet for fra en beslutning.
Påloggingsinformasjon som fungerer på mer enn én maskin, er også verdt noe for en angriper som får tak i den – samme logikk som gjør at fjerning av lokal admin stenger åpningen EDR-drepere er avhengige av.
Hva med Windows LAPS?
Det er den åpenbare innvendingen, og den fortjener et rett svar. Windows LAPS gir hver enhet et unikt lokalt administratorpassord, roterer det etter en tidsplan eller etter bruk, og begrenser hentingen til autoriserte medarbeidere. Det løser gjenbruksproblemet skikkelig – én kompromittert maskin gir ikke lenger en angriper tilgang til resten av enhetsparken.
Det LAPS ikke gjør, er å ta beslutninger. Håndtering av påloggingsinformasjon og godkjenning av heving løser ulike problemer. Hvis servicedesken fortsatt henter et lokalt administratorpassord for å lukke vanlige saker, er påloggingsinformasjonen sikker, men arbeidsflyten har ikke flyttet seg – du har beskyttet nøkkelen uten å redusere hvor ofte noen griper etter den.
Slik ser heving av rettigheter via servicedesken ut i stedet
CapaOne Privilege Manager, en del av CapaOne-plattformen for endepunktadministrasjon, lar en supportmedarbeider godkjenne en avgrenset, tidsbegrenset heving av rettigheter uten å eksponere lokale administratorkontoer for noen. Teknikeren godkjenner en handling i stedet for å gi fra seg påloggingsinformasjon.
Tre ting endrer seg i det daglige arbeidet.
Handlingen kan spores til en person. Loggen viser brukeren, endepunktet, navnet på den kjørbare filen og programbanen, tidspunktet, varigheten og resultatet. Sammenlign det med delt påloggingsinformasjon, der loggen navngir en konto som tilhører alle og dermed ingen.
Ingenting blir hengende igjen. Hevingen utløper av seg selv. Ingen må huske å reversere noe, og det betyr noe, fordi steget folk glemmer, alltid er det siste.
Ingen påloggingsinformasjon skifter hender. Supportmedarbeideren godkjenner uten å eksponere en lokal administratorkonto, så det finnes ikke noe passord å taste inn foran en bruker.
Følg med på hvilke forespørsler som stadig kommer tilbake
Det mest nyttige ved å sende heving av rettigheter via en supportmedarbeider er ikke kontrollen. Det er dataene.
En forespørsel som kommer én gang, er et unntak. Den samme forespørselen hver uke er et hull i policyen i forkledning – oppgaven hører hjemme i en regel, og hver av disse sakene fantes bare fordi regelen ikke var der. Å gå gjennom gjentakende forespørsler hver måned er den billigste policyjusteringen som finnes, og den krymper køen i stedet for å administrere den.
Noen kategorier forsvinner helt i stedet for å bli godkjent raskere. Der rutinemessige installasjoner og oppdateringer står for volumet, ruller CapaOne Application Manager dem ut i det stille etter policy, slik at forespørselen om heving aldri oppstår. En godkjenning du aldri trenger å gi, er bedre enn en rask en.
Retningen er en servicedesk som gir færre hevinger over tid, ikke en som gir dem mer effektivt. Hvis tallet er uendret etter tre måneder, lærer ikke policyene av køen.
For team som allerede bruker Microsoft Intune, fungerer CapaOne side om side med eksisterende samsvars- og konfigurasjonspolicyer, og plattformen fungerer like godt som en komplett løsning på egen hånd. Oversikten vår over styring av administratorrettigheter viser hvor heving godkjent av supportmedarbeidere passer inn i en bredere strategi for endepunkter, og innlegget vårt om just-in-time-rettigheter i praksis går gjennom beslutningene du må ta før den første policyen settes i drift.
Prøv det på en ekte sak – book en demo, eller start en gratis prøveperiode og godkjenn den første hevingen selv.