Wenn Endbenutzergeräte nicht gesichert werden, sind Server und Daten gefährdet

Investitionen in die Sicherung ruhender Daten auf Servern und in die Verschlüsselung über das Kabel sind von entscheidender Bedeutung, aber wenn die Geräte, mit denen auf die Daten zugegriffen wird, nicht auch wirksam gesichert sind, könnten alle anderen Bemühungen vergeblich sein.

Viele Unternehmen betrachten ihre wichtigsten IT-Ressourcen als die Server, die die Daten verarbeiten, ohne die das Unternehmen nicht funktionieren könnte, und setzen zum Schutz ausgefeilte Abwehrmaßnahmen ein, darunter Produkte wie die Lepide Data Security Platform. Aber wenn grundlegende Best Practices für Endbenutzergeräte ignoriert werden, können Server und Daten gefährdet sein. Zu den wichtigsten Schutzmaßnahmen, die über Antiviren- und Endpoint-Firewalls hinausgehen, gehören:

• Konten mit den geringsten Berechtigungen, bei denen Administratorrechte zugunsten von Standardbenutzerkonten entfernt werden
• Whitelisting von Anwendungen
• Einschränkung der Nutzung von Domänenadministratorkonten

Benutzerkonten mit den geringsten Privilegien

Das Entfernen von Administratorrechten von Benutzern kann schwierig zu erreichen sein, aber die Benutzerkontensteuerung (UAC) in Windows Vista (und höher) macht es realistischer, mit Standardbenutzerrechten zu arbeiten, wobei jede neue Windows-Version uns ein Stück weiter in Richtung des Standards bringt Benutzerutopie.

Schädliche Prozesse werden im Kontext des angemeldeten Kontos ausgeführt. Wenn Benutzer also über vollständigen Administratorzugriff verfügen, können die Schutzmaßnahmen deaktiviert werden. Dadurch sind Geräte stark angreifbar und alle vom Gerät verarbeiteten Daten sind offengelegt, da Gruppenrichtlinien, Anwendungskontrolle, Virenschutz und andere Abwehrmaßnahmen deaktiviert oder stillschweigend umgangen werden können.

Wenn Ihr Unternehmen ein Standard-PC-Image bereitstellt, können Benutzer mit Administratorrechten die Systemkonfiguration von Anfang an ändern, was die Implementierung der Änderungskontrolle erschwert und die Gesamtbetriebskosten aufgrund der verringerten Zuverlässigkeit und Sicherheit aufgrund unerwünschter oder böswilliger Änderungen erhöht Aktivität.

Das Application Compatibility Toolkit (ACT) von Microsoft, das Teil des Windows Assessment and Deployment Kit (ADK) ist, ermöglicht Administratoren die Lösung von Problemen mit älteren Anwendungen, die möglicherweise nicht mit Standardbenutzerkonten oder UAC kompatibel sind. Es gibt auch Berechtigungsverwaltungslösungen von Drittanbietern, die Prozesse gemäß den von der IT festgelegten Richtlinien für Endbenutzer transparent machen.

Anwendungskontrolle

Auch das Blockieren nicht vertrauenswürdiger Anwendungen ist für die Datensicherung von entscheidender Bedeutung. Tragbare Anwendungen werden ohne besonderen Systemzugriff installiert, sodass es nicht ausreicht, einfach die Administratorrechte zu entfernen. Die Anwendungskontrolle kann so konfiguriert werden, dass die Ausführung anderer Arten unerwünschter ausführbarer Dateien wie Skripts und Batchdateien sowie bösartiger Prozesse verhindert wird, die möglicherweise an Antivirenprogrammen vorbeigehen.

Da immer mehr Unternehmen die geringsten Rechte auf Endbenutzergeräten erreichen, haben Hacker ihre Techniken angepasst, um sicherzustellen, dass Malware installiert werden kann, ohne dass Administratorrechte erforderlich sind, was in der Vergangenheit eine Voraussetzung war.

Domänenadministratorkonten

Für die meisten alltäglichen Serververwaltungsaufgaben sind keine Domänenadministratorrechte erforderlich, und unter keinen Umständen sollten Domänenadministratorkonten zur Verwaltung von Endbenutzergeräten verwendet werden. Wenn ein Gerät gefährdet ist, auf dem ein Domänenadministratorkonto verwendet wurde, müssen Sie davon ausgehen, dass auch Ihre gesamte Domäne gefährdet ist.

Da Geräte, die interaktiv für alltägliche Computeraufgaben genutzt werden, anfälliger für Malware sind, die oft schwer zu erkennen ist, empfiehlt es sich, sie nicht über Domänenadministratorkonten zu verwalten. Sobald die Anmeldeinformationen des Domänenadministrators auf einem Gerät zwischengespeichert werden, ist es möglich, dass ein kompromittierter PC Benutzernamen und Kennwörter preisgibt, sodass ein Angreifer schnell Zugriff auf das gesamte Netzwerk erhält.