Dado que este es un dominio de Windows, es probable que las cuentas que están usando tengan acceso completo a todas las estaciones de trabajo, por lo que si sucede algo malo, puede atravesar la red en segundos. El primer paso es asegurarse de que todos los usuarios realicen el trabajo diario, naveguen por la web, escriban documentos, etc., de acuerdo con el principio de Acceso mínimo del usuario .
Mi práctica es crear una cuenta de dominio y otorgarle a esa cuenta privilegios de administrador en todas las estaciones de trabajo (PC-admin), y una cuenta de dominio separada para el trabajo de administración del servidor (server-admin). Si le preocupa que sus servidores puedan comunicarse entre sí, puede tener cuentas individuales para cada máquina (<x> -admin, <y> -admin). Definitivamente intente usar otra cuenta para ejecutar los trabajos de administrador de dominio.
De esa forma, si está haciendo algo en una estación de trabajo comprometida con la cuenta de administrador de PC, y aprovecha la posibilidad de que tenga privilegios de administrador para intentar acceder a otras máquinas a través de la red, no podrá hacer nada desagradable para sus servidores. Tener esta cuenta también significa que no puede hacer nada a sus datos personales.
Sin embargo, debo decir que en un lugar donde sé dónde trabajó el personal con los principios de LUA, no tuvieron una infestación de virus adecuada durante los tres años que vi; otro departamento en el mismo lugar que tenía a todos con administrador local y personal de TI con administrador de servidor tuvo varios brotes, uno de los cuales tomó una semana de tiempo de TI para limpiar debido a la propagación de la infección a través de la red.
La instalación lleva algún tiempo, pero los ahorros potenciales son enormes si tiene problemas.