Trabajo en una pequeña organización con 2 servidores y 30 clientes. Somos completamente Windows Server 2003 / XP. Además de mí, el Director de Operaciones y nuestra empresa de consultoría de TI necesitan acceso a una cuenta de administrador de dominio.
¿Deberíamos tener varias cuentas de administrador de dominio por algún motivo (cambio de registro, seguridad u otro)? ¿Hay razones para no tener varias cuentas de administrador de dominio?
Respuestas:
Cada usuario que realiza actividades administrativas debe tener una cuenta dedicada para realizar esas actividades. En un entorno Windows, la cuenta de administrador integrada (RID 500) debe tener una contraseña compleja establecida, impresa y guardada en una caja fuerte, etc. para emergencias.
Un principio general de seguridad es el siguiente: Desea saber quién está realizando qué actividades (administrativas, en este caso) (es decir, tener una pista de auditoría. Compartir cuentas lo elimina del agua).
Además, desea poder cortar el acceso de una persona en caso de incumplimiento de la seguridad de la contraseña, cancelación, etc. Las cuentas compartidas tampoco cumplen con ese criterio.
Las cuentas compartidas de uso común de cualquier tipo deben considerarse de alto valor dudoso, pero las credenciales de administración compartidas siempre son malas.
re: Consideraciones específicas de Windows, como conexiones limitadas de Escritorio remoto / Servicios de terminal: Sea cortés con sus colegas administradores y no deje sesiones desconectadas por ahí. Descubrí que la presión social funciona bastante bien en organizaciones pequeñas (es decir, mencionando con frecuencia y en voz alta el hecho de que el administrador XXX no recuerda cerrar la sesión de los servidores). Siempre puede arrancar las sesiones desconectadas de otros usuarios si realmente tiene que hacerlo. Agrega, tal vez, 30 segundos a un intento de conexión. En una organización más grande, o si se convierte en un problema importante, puede considerar implementar tiempos de espera de sesión desconectados.
Un poco aparte, pero uno que probablemente sea sobre el tema, ya que usted mencionó a un consultor de TI: como contratista de TI, siempre solicito una cuenta de administración dedicada para mí y exijo no conocer ninguna credencial de administración "compartida". Protege a ambas partes y proporciona una pista de auditoría. Siempre quiero que mis Clientes sientan que pueden "bloquearme" en cualquier momento (y que también tengan esa capacidad) porque creo que envía un mensaje poderoso de que confío en mi capacidad para mantener la relación con ellos basados en los méritos de mis habilidades y el valor que proporciono, no en base a un vago sentimiento de que están "encerrados" en mí.
Una razón para no tener varias cuentas:
si administra todo usando el escritorio remoto, puede tener un límite para ellas. Si las personas simplemente cierran la sesión de escritorio remoto sin cerrar sesión, quedarán atados rápidamente.
Una razón para tener varias cuentas:
puede ver quién inició sesión cuando sucede algo malo. Sin embargo, si tienes un buen ambiente de equipo, quien haya hecho algo lo admitirá.
La respuesta de Evan es buena. También recuerde que no debe usar su cuenta de administrador para el trabajo diario: siempre ejecute comandos de administrador con runas o similares si está ejecutando algo directamente en su estación de trabajo.
Para las cuentas de servicio, también puede deshabilitar el inicio de sesión interactivo para que sean más seguras.
Un último punto, asegúrese de activar la auditoría de seguridad en sus servidores y asegúrese de que el registro de eventos de seguridad sea lo suficientemente grande (generalmente lo configuro en 20 MB o más)