Die Verwendung desselben Benutzers mit Administratorrechten für alles ist einer der die häufigsten Sicherheitsfehler Sowohl im privaten als auch im beruflichen Umfeld ist es unter Windows entscheidend, das tägliche Arbeitskonto von Konten mit hohen Berechtigungen zu trennen und ein umfassendes Verständnis der internen Systemkonten zu haben, um Risiken zu minimieren, die Privatsphäre zu schützen und Malware einzudämmen.
In diesem Artikel werden Sie Schritt für Schritt sehen, wie Erstellen und verwalten Sie sichere lokale Konten für den täglichen Gebrauch.Welche Arten von Konten gibt es in Windows (einschließlich versteckter Systemkonten), wie konfiguriert man sie in Windows 10 und Windows 11, was hat sich in den letzten Versionen geändert und welche Richtlinien und Best Practices sollten Sie anwenden, wenn Sie mehrere Computer oder ein ganzes Klassenzimmer verwalten?
Was genau ist ein lokales Benutzerkonto in Windows und warum ist es nützlich, es zu verwenden?
Unter Windows können Sie sich mit einem Konto anmelden. Microsoft-Konto oder lokales KontoEin Microsoft-Konto ist mit einer E-Mail-Adresse (Outlook, Hotmail, Live usw.) verknüpft und integriert sich mit OneDrive, dem Microsoft Store, der Synchronisierung von Einstellungen, Xbox, Office und anderen Cloud-Diensten. Das ist alles großartig, bedeutet aber auch, dass mehr Daten offengelegt werden und man stärker auf seine Online-Identität angewiesen ist.
Das lokale Konto hingegen ist ein Konto, das Es existiert nur auf diesem Gerät.Der Benutzer verfügt zwar über seinen Profilordner, Dokumente, Bilder, Desktop usw., aber Einstellungen und Dateien werden nicht mit der Microsoft-Cloud synchronisiert. Dieser Ansatz bietet eine größeres Maß an Privatsphäre und verringert die Angriffsfläche in Szenarien, in denen keine Integration mit den Online-Diensten des Unternehmens erforderlich oder gewünscht ist.
In Umgebungen, in denen mehrere Benutzer einen PC gemeinsam nutzen (Großfamilie, Büro, Klassenzimmer, Labor oder kleines Unternehmen), verhindert die Erstellung separater lokaler Profile Manche schauen sich die Daten anderer Leute an.Es isoliert Einstellungen, Browserverlauf und installierte Anwendungen für jeden Benutzer und vereinfacht so die Einhaltung von Datenschutzrichtlinien.
Windows 8, 10 und 11 erlauben nach wie vor lokale Benutzerkonten, genau wie frühere Versionen, auch wenn das System versucht, den Benutzer zur Verwendung dieser Konten zu drängen. Microsoft-Konten für allesSie können jederzeit zwischen Ihrem Microsoft-Konto und Ihrem lokalen Konto wechseln, ohne Daten zu verlieren, sofern Sie dies korrekt durchführen.
Lokale Benutzer- und Systemkonten: Welche Arten gibt es und wofür werden sie verwendet?
Windows erstellt automatisch eine Reihe von Standard-lokale Konten Bei der Systeminstallation werden einige Dateien benutzerspezifisch, andere systemspezifisch verwendet. Letztere werden intern von Windows und bestimmten Diensten genutzt. Sie verhalten sich unterschiedlich und haben nicht dieselben Berechtigungen. Daher ist es wichtig, sie zu verstehen, um Fehler oder Sicherheitslücken zu vermeiden.
Standardmäßige lokale Benutzerkonten
Die standardmäßigen lokalen Benutzerkonten sind integrierte Konten, die vom System verwendet werden. während der Installation entstandenSie können nicht gelöscht, aber in manchen Fällen umbenannt oder deaktiviert werden. Sie befinden sich alle auf dem Computer und haben nur Rechte für dieses Gerät, ohne automatischen Zugriff auf Netzwerkressourcen.
Zum Anzeigen und Verwalten dieser Konten können Sie in den Pro-Editionen und höher die Konsole verwenden. Geräteverwaltung > Lokale Benutzer und Gruppen > BenutzerVon dort aus können Sie benutzerdefinierte Benutzer anlegen, Passwörter ändern, Konten deaktivieren usw. In den Home-Editionen werden viele dieser Aufgaben über die Einstellungen-App oder mithilfe von Befehlen ausgeführt.
Administratorkonto
Das integrierte lokale Administratorkonto ist dasjenige, das über die totale Kontrolle über das TeamIhre SID endet mit 500 Es handelt sich um das erste Konto, das bei der Installation von Windows erstellt wird, obwohl es in modernen Versionen in der Regel deaktiviert ist und ein anderes Konto mit Administratorrechten für den Hauptbenutzer erstellt wird.
Mit diesem Konto können Sie Jegliche Datei, jeden Dienst, jede Berechtigung oder jede Einstellung ändernDies ermöglicht es ihnen, Ressourcen zu kontrollieren, Benutzerrechte zu ändern und Berechtigungen zuzuweisen. Genau aus diesem Grund ist es ein sehr attraktives Konto für Angreifer und Schadsoftware, und seine Existenz ist in praktisch allen Windows-Versionen bekannt.
Aus Sicherheitsgründen können Sie das Administratorkonto nicht löschen, aber Sie können Benenne es um oder deaktiviere es.Microsoft empfiehlt, dieses Konto nicht für reguläre Anmeldungen zu verwenden und die Anzahl der Konten der Administratorgruppe so weit wie möglich zu beschränken. Es empfiehlt sich, stets mit einem Standardkonto zu arbeiten und erhöhte Berechtigungen (Als Administrator ausführen und Benutzerkontensteuerung) nur bei Bedarf zu nutzen.
Gastkonto
Das Gastkonto ist für Benutzer gedacht gelegentlicher oder einmaliger Gebrauch Sie benötigen schnellen Zugriff auf einen Computer, ohne ein eigenes Konto erstellen zu müssen. Dessen SID endet auf 501, die Berechtigungen sind stark eingeschränkt, und es ist von Natur aus für temporäre Sitzungen ohne umfangreiche Anpassungsmöglichkeiten vorgesehen.
Standardmäßig wird das Gastkonto verwendet. deaktiviert und ohne PasswortDies birgt ein erhebliches Risiko bei unachtsamer Aktivierung, da es anonymen Zugriff ermöglicht. Es ist das einzige Mitglied der integrierten Gästegruppe (SID S-1-5-32-546), das ausschließlich über die Rechte für eine lokale Anmeldung verfügt.
Falls Sie es aus irgendeinem Grund aktivieren, ist es ratsam, es so weit wie möglich einzuschränken und seine Nutzung über das Netzwerk nicht zuzulassen. Sie daran hindern, Ereignisprotokolle einzusehen Überprüfen Sie Ihre Aktivitäten regelmäßig, um zu verhindern, dass jemand sie versehentlich nutzt, um Dienste oder Ressourcen offen zu lassen.
Standardkonto (DSMA)
Standardkonto, auch bekannt als Standardmäßig vom System verwaltetes Konto (DSMA)Es handelt sich um ein standardmäßiges, vom System verwaltetes Konto, das zur Unterstützung von Mehrbenutzeranwendungen (MUMA) und bestimmten modernen Szenarien (z. B. Xbox oder Umgebungen mit gemeinsam genutzten Sitzungen) eingeführt wurde.
Dieses Konto ist normalerweise standardmäßig deaktiviert Auf Windows-Desktop-PCs und -Servern mit Desktopdarstellung verfügt es über eine bekannte RID (503) und gehört zur speziellen Gruppe der systemverwalteten Konten (SID S-1-5-32-581). Windows selbst erstellt es beim ersten Start des Computers im Sicherheitskonten-Manager (SAM).
Aus Sicht der Berechtigungen verhält es sich wie ein Standardbenutzer, ist aber so konzipiert, dass Anwendungen, die im Hintergrund bleiben und auf Änderungen der Benutzersitzung reagieren müssen, dies tun können... wird in einem Kontext ausgeführt, der von dem menschlicher Benutzer unabhängig ist.Microsoft rät von einer Änderung der Standardeinstellungen ab, da dies aktuelle oder zukünftige Sicherheitsszenarien beeinträchtigen könnte, ohne dass dadurch wirkliche Sicherheitsvorteile erzielt werden.
WDAGUtilityAccount
WDAGUtilityAccount ist ein weiteres integriertes lokales Konto, das verwendet wird von Windows Defender-Anwendungsschutz (Windows Defender Application Guard). Seine SID ist bekannt (endet auf 504) und er gehört standardmäßig keiner Gruppe an.
Dieses Konto dient dazu, Browser- oder Ausführungsumgebungen zu isolieren, die das System in Containern schützt. Unter normalen Umständen sollten Sie es nicht verändern. Windows aktiviert und konfiguriert es automatisch. bei Bedarf.
WSI-Konto
WSIAccount erscheint in Windows 11 und ist auf folgende Zielgruppe ausgerichtet: Webbezogene Aktivitäten vom Sperrbildschirm oder AnmeldebildschirmEs wird beispielsweise verwendet, um auf Seiten von Anmeldeinformationsanbietern zuzugreifen, wenn Sie ein Passwort zurücksetzen oder eine webbasierte Authentifizierung verwenden möchten, bevor Sie sich vollständig anmelden.
Es besitzt eine bekannte SID, die auf 1001 endet, und gehört standardmäßig zur Benutzergruppe. Es handelt sich also um ein Dienstkonto. Es sollte nicht interaktiv genutzt werden. Auch manuelle Änderungen sind nur zulässig, wenn Microsoft dies für einen konkreten Anwendungsfall dokumentiert.
HelpAssistant-Konto
HelpAssistant ist ein lokales Konto, das Windows Nur während Fernwartungssitzungen aktiviertWenn ein Benutzer über eine Einladung (per E-Mail, Datei usw.) um Hilfe bittet, erstellt das System dieses Konto mit eingeschränkten Berechtigungen, damit die helfende Person sich verbinden und den Computer unter Aufsicht steuern kann.
Das Konto bleibt deaktiviert, bis Anfragen für die Remoteunterstützung vorliegen. Es wird vom Remotedesktop-Hilfesitzungsmanager verwaltet und gehört zu Gruppen, die mit Remotedesktop und Terminalserver zusammenhängen (z. B. Gruppen mit den SIDs S-1-5-13 und S-1-5-14, zu denen Benutzer der Dienste Remotedesktop und Remote Interactive Logon gehören).
Unter Windows Server ist die Remoteunterstützung nicht standardmäßig installiert und ist ein optionale KomponenteSolange das HelpAssistant-Konto nicht installiert und verwendet wird, spielt es keine Rolle.
Lokale Systemkonten: SYSTEM, Lokaler Dienst und Netzwerkdienst
Neben Benutzerkonten verfügt Windows über mehrere interne Systemkonten die nicht dazu gedacht sind, sich als normaler Benutzer anzumelden, sondern dem System und seinen Diensten das Funktionieren zu ermöglichen.
Das mächtigste ist das Konto. SYSTEM (SID S-1-5-18). Sie wird vom Betriebssystemkernel und zahlreichen Diensten verwendet, die maximale Berechtigungen benötigen, darunter Installationsaufgaben. Sie wird weder in der Benutzerverwaltung angezeigt noch kann sie Gruppen hinzugefügt werden, ist aber in den NTFS-Berechtigungslisten zu finden, wo sie üblicherweise … volle Kontrolle über alle Dateien der lokalen Volumina.
Konto Nahverkehr (LOKALER NUTZUNG, SID S-1-5-19) Es ist so konzipiert, dass Dienste mit minimalen Berechtigungen auf dem Rechner und anonymen Anmeldeinformationen im Netzwerk ausgeführt werden können. Dadurch hat ein Angreifer im Falle einer Kompromittierung eines Dienstes, der dieses Konto verwendet, deutlich weniger Handlungsspielraum.
Der Bericht seinerseits Netzwerkdienst (NETZWERKDIENST, SID S-1-5-20) Es betreibt Dienste, die für die Kommunikation mit anderen entfernten Servern die Anmeldeinformationen des Computers benötigen. Daher präsentiert sich der Dienst dem Netzwerk als der Computer selbst und nicht als regulärer Benutzer, verfügt aber lokal über relativ eingeschränkte Berechtigungen.
Erstellen Sie sichere lokale Konten für den täglichen Gebrauch in Windows 10 und Windows 11.
Über integrierte Konten hinaus ist es üblich, Standard-Lokalbenutzer Für den täglichen Gebrauch können Sie ein oder mehrere Administratorkonten anlegen, die nur dann benötigt werden, wenn Sie Software installieren, globale Einstellungen ändern oder Wartungsarbeiten durchführen müssen. Windows bietet verschiedene Möglichkeiten zum Erstellen dieser Konten, je nachdem, ob Sie eine grafische Oberfläche oder die Befehlszeile bevorzugen.
Erstellen Sie es über die Einstellungen-App.
Unter Windows 10 und 11 ist die App für die meisten Benutzer der benutzerfreundlichste Weg. Einstellungen > KontenDort können Sie sowohl lokale Konten als auch Microsoft ID-basierte Konten erstellen und später deren Typ ändern (Standardbenutzer oder Administrator).
Der typische Ablauf ist: Gehen Sie zu „Konten“ und geben Sie Folgendes ein: Familie und andere Benutzer (unter Windows 10) oder auf Andere Benutzer (In Windows 11) klicken Sie auf „Konto hinzufügen“ und wählen Sie die entsprechende Option aus, wenn Sie nach einer E-Mail-Adresse oder Telefonnummer gefragt werden. Ich habe die Zugangsdaten dieser Person nichtIm nächsten Schritt wählen Sie anstelle der Option „Neue Microsoft-E-Mail öffnen“ die Option „Benutzer ohne Microsoft-Konto hinzufügen“.
Von dort aus müssen Sie nur noch angeben Benutzername und PasswortWiederholen Sie Ihr Passwort aus Sicherheitsgründen und richten Sie drei Sicherheitsfragen ein. ErholungsmaßnahmenDas Passwortfeld kann zwar leer gelassen werden, dies ist jedoch in fast allen praktischen Anwendungsfällen keine gute Idee. Nach der Erstellung erscheint das Konto im Bereich „Andere Benutzer“ und kann bei Bedarf in „Administrator“ geändert werden.
Erstellen eines Familienmitgliedskontos (mit einem Microsoft-Konto)
Wenn Sie Konten für Minderjährige oder Benutzer erstellen möchten, für die Sie sich bewerben möchten Kindersicherung und BildschirmzeitregelnSie können die Familienoption nutzen. In diesem Fall ist ein Microsoft-Konto erforderlich, da die Steuerung über den Familiensicherheitsdienst zentralisiert wird.
Ein Benutzer mit Administratorrechten, der mit einer Microsoft-ID angemeldet ist, kann unter „Konten“ > „Familie“ ein Mitglied hinzufügen und angeben, ob dieses Mitglied Mitglied sein soll. Organisator oder Mitglied Verknüpfen Sie Ihre E-Mail-Adresse (oder erstellen Sie eine neue für ein Kind). Alle weiteren Einstellungen (Filter, Beschränkungen, Berichte) werden später über die Microsoft Family Safety-Website verwaltet.
Erstellung aus der Geräteverwaltung
In technisch anspruchsvolleren Umgebungen ist Team Management ein sehr praktisches Werkzeug für Schnell mehrere lokale Benutzer erstelleninsbesondere unter Windows Pro oder Enterprise.
Öffnen Sie über das Kontextmenü der Startschaltfläche die Computerverwaltung, erweitern Sie „Lokale Benutzer und Gruppen“ > „Benutzer“ und wählen Sie die entsprechende Option aus. Neuer BenutzerIn diesem Abschnitt werden Benutzername, optional vollständiger Name, Beschreibung und Passwort festgelegt. Sie können eine Passwortänderung beim ersten Login erzwingen, verhindern, dass Benutzer ihr Passwort ändern, oder festlegen, dass es nie abläuft.
Nach dem Klicken auf „Erstellen“ bleibt das Fenster geöffnet, falls Sie mehrere Benutzer nacheinander anlegen müssen. Dies ist besonders in Hörsälen oder Laboren mit vielen Studierenden hilfreich. Diese Methode erstellt lediglich Benutzerkonten. lokale BenutzerEs handelt sich nicht um Microsoft-Konten, sondern um Benutzerkonten, und in den Eigenschaften jedes Benutzers können Sie die Gruppenzugehörigkeit zuweisen (z. B. Benutzer oder Administratoren).
Erstellt mit Netplwiz
Netplwiz ist ein klassisches Windows-Tool für Konten und Anmeldeoptionen verwaltenEs wird über die Schaltfläche „Ausführen“ mit dem Befehl „netplwiz“ gestartet und ermöglicht das Hinzufügen von Konten, das Ändern von Passwörtern und das Konfigurieren, ob ein Benutzer beim Anmelden ein Passwort eingeben muss.
Klicken Sie auf der Registerkarte „Benutzer“ auf „Hinzufügen“. Der Assistent bietet Ihnen dann an, ein Microsoft-Konto zu erstellen oder, falls Sie die entsprechende Option auswählen, ein … Lokales Konto ohne MicrosoftAuch wenn es etwas versteckt ist, ähnelt die Vorgehensweise derjenigen der Einstellungen-App: Name, Passwort und gegebenenfalls Gruppenzugehörigkeit.
Erstellung über die Konsole: net user und PowerShell
Bei der Verwaltung vieler Teams oder beim Arbeiten im abgesicherten Modus ist die Konsole Ihr bester Verbündeter. Mit dem klassischen Befehl net user Sie können einen Benutzer mit einer einzigen Zeile erstellen, zum Beispiel:
net user operator SecurePassword123! /add
Wenn Sie dieses Konto später einer bestimmten Gruppe zuordnen möchten, können Sie Folgendes verwenden:
net localgroup Administrators operator /add Um Administratorrechte zuzuweisen oder den Benutzer der Benutzergruppe hinzuzufügen, falls es sich nur um einen Standardbenutzer handeln soll. Diese Methode eignet sich ideal für Skripte und automatisierte Bereitstellungen.
In PowerShell wird das Cmdlet Neuer lokaler Benutzer Es ermöglicht mehr Kontrolle und eine moderne Syntax. Sie können das Konto erstellen und ein sicheres, in SecureString konvertiertes Passwort definieren und es dann verwenden. Lokales Gruppenmitglied hinzufügen um es der entsprechenden Gruppe hinzuzufügen. Dies ist besonders nützlich für Systemadministratoren in Kombination mit Automatisierungstools oder dem Modul Microsoft.PowerShell.LocalAccounts.
Neuerungen in Windows 11: OOBE, Befehle und Erstellung lokaler Benutzerkonten
In den neueren Versionen von Windows 11, insbesondere ab Build 24H2, hat Microsoft Schließung „inoffizieller“ Routen um die Notwendigkeit der Verwendung eines Microsoft-Kontos bei der Erstinstallation zu umgehen.
Der bekannte Trick OOBE\BYPASSNRDie Funktion, mit der man bis vor Kurzem im Einrichtungsassistenten (OOBE) die Option für ein lokales Konto erzwingen konnte, funktioniert nicht mehr. Beim Versuch, diese Funktion in 24H2 zu nutzen, startet das System den Assistenten einfach neu und führt zurück zum selben Bildschirm, ohne die Verknüpfung zum lokalen Konto wie zuvor anzubieten.
Es gibt jedoch weiterhin wirksame Alternativen. Eine der saubersten ist die Verwendung der folgenden Meldung auf dem Bildschirm, die darauf hinweist, dass eine Internetverbindung erforderlich ist: Drücken Sie Umschalt+F10, um die Konsole zu öffnen. und einen internen Befehl ausführen wie OOBE: Start ms-cxh:localonlyDadurch wird der Assistent angewiesen, den Pfad zur Erstellung des lokalen Kontos anzuzeigen, ohne ihn mit einer E-Mail-Adresse zu verknüpfen.
Eine weitere klassische Option ist Windows offline installierenDas Trennen des Netzwerkkabels oder das Deaktivieren von WLAN vor oder während des Einrichtungsassistenten kann ebenfalls helfen. Bei vielen Systemen bietet der Computer, falls keine Internetverbindung erkannt wird, automatisch die Option an, im Rahmen der Ersteinrichtung ein lokales Konto zu erstellen – ohne dass weitere Schritte erforderlich sind.
Schließlich gibt es immer noch die Möglichkeit Installieren Sie die Installation mit einem Microsoft-Konto und erstellen Sie anschließend ein lokales Konto. Über die Einstellungen oder die Konsole können Sie Ihre tägliche Nutzung auf dieses Konto übertragen und, falls gewünscht, das Microsoft-Konto unter „Konten“ > „Ihre Informationen“ > „Mit einem lokalen Konto anmelden“ in ein lokales Konto umwandeln. Das ist etwas aufwendiger, wird aber vollständig unterstützt und ist stabil.
Sicherheit und bewährte Verfahren bei der täglichen Nutzung lokaler Konten
Viele Benutzerkonten sind nutzlos, wenn ihre Konfiguration mangelhaft ist. Um echte Sicherheit zu gewährleisten, müssen lokale Benutzerkonten zusammengeführt werden. gute Nutzungspraktiken mit der korrekten Konfiguration von UAC, Berechtigungen und Gruppenrichtlinien, insbesondere in Unternehmensumgebungen.
Verwenden Sie ein Standardkonto für den täglichen Gebrauch.
Die allgemeine Empfehlung von Microsoft und jedem Sicherheitsexperten ist eindeutig: Verwenden Sie ein Standardkonto für tägliche Aufgaben (Browsen, E-Mail, Office-Anwendungen, Spiele usw.) und Konten mit Administratorrechten nur für solche Aktionen reservieren, die diese wirklich erfordern, und nach Möglichkeit aktivieren Multi-Faktor-Authentifizierung.
El Benutzerkontensteuerung (User Account Control, UAC) Das hilft sehr. Selbst bei der Anmeldung mit einem Konto, das zur Gruppe der Administratoren gehört, wendet die Benutzerkontensteuerung (UAC) ein Modell der „Administratorgenehmigung“ an: Der Benutzer arbeitet im Standardmodus, bis eine Aktion erhöhte Rechte erfordert. In diesem Fall zeigt das System eine Warnung an und fordert eine Bestätigung oder Anmeldeinformationen an.
Die Benutzerkontensteuerung (UAC) beeinflusst auch das Verhalten lokaler Konten bei deren Verwendung. Fern- oder NetzwerkzugriffBei der Anmeldung über ein Netzwerkkonto (NET USE, freigegebene Verbindungen usw.) kann Windows beispielsweise ein Standardbenutzertoken ohne erhöhte Berechtigungen ausgeben, wodurch verhindert wird, dass dieses Konto auf administrative Ressourcen wie C$ oder ADMIN$ zugreifen kann. Dies reduziert die Angriffsfläche für die seitliche Ausbreitung nach einem Anmeldeinformationsdiebstahl.
Beschränken Sie die Fernnutzung lokaler Konten mit Administratorrechten
Eine der häufigsten Angriffe auf Windows-Netzwerke ist die laterale Bewegung, bei der Sicherheitslücken ausgenutzt werden. wiederverwendete Passwort-Hashes auf mehreren Computern. Wenn das lokale Administratorkonto auf mehreren PCs dasselbe Passwort verwendet, kann ein Angreifer, der einen PC kompromittiert, diese Anmeldeinformationen nutzen, um sich auf die übrigen PCs auszubreiten.
Um dieses Risiko zu mindern, gibt es mehrere sich ergänzende Strategien. Die erste ist Anmeldung aus dem Netzwerk verweigern und die Anmeldung an lokalen Konten, die Mitglieder der Administratorgruppe sind, erfolgt über Remotedesktopdienste. Dies geschieht mithilfe von Gruppenrichtlinien und den folgenden Richtlinien:
- Diesem Gerät den Netzwerkzugriff verweigern, konfiguriert für „Lokales Konto und Mitglied der Administratorengruppe“.
- Anmeldung über Remotedesktopdienste verweigernwird auch auf „Lokales Konto und Mitglied der Administratorengruppe“ hingewiesen.
Diese Richtlinien werden unter Computerkonfiguration > Windows-Einstellungen > Sicherheitseinstellungen > Lokale Richtlinien > Zuweisung von Benutzerrechten angewendet und über Gruppenrichtlinienobjekte (GPO) an die Organisationseinheiten verteilt, die die zu schützenden Arbeitsstationen und Server enthalten.
Eine weitere wichtige Maßnahme ist die Steuerung des UAC-Verhaltens beim Remotezugriff durch Konfiguration des Registrierungswerts. LocalAccountTokenFilterPolicy Unter HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System. Über eine Gruppenrichtlinie, die auf Registrierungseinstellungen basiert, kann dieser Wert als REG_DWORD mit dem Wert 0 definiert werden, um die Tokenfilterung zu erzwingen und die Rechteerweiterung lokaler Benutzerkonten im Netzwerk einzuschränken.
Einzigartige und zufällige Passwörter für privilegierte lokale Konten
Die Wiederverwendung desselben lokalen Administratorkennworts auf allen Computern ist ein enormes RisikoJede Weitergabe dieses Passworts oder seines Hashwerts öffnet die Tür für die Kompromittierung aller identisch konfigurierten Maschinen in einer Kettenreaktion.
Die Lösung besteht darin, Folgendes zu etablieren einzigartige und zufällige Passwörter für jedes lokale Konto mit entsprechenden Berechtigungen. Dies macht Pass-the-Hash-Angriffe extrem schwierig, da ein gestohlener Hash nur auf dem Rechner gültig ist, auf dem er erlangt wurde, nicht auf anderen.
Microsoft bietet verschiedene Möglichkeiten zur Automatisierung dieser Randomisierung an. Die derzeit am meisten empfohlene Methode ist die Implementierung von LAPS (Lokale Administrator-Passwortlösung)Diese Software generiert und rotiert komplexe Passwörter für lokale Administratorkonten und speichert sie verschlüsselt in Active Directory, wo sie nur autorisierten Administratoren zugänglich sind. Alternativ können auch Enterprise-Tools von [Anbietername] erworben werden. Verwaltung privilegierter Passwörter Oder Sie entwickeln eigene Skripte, die regelmäßig sichere Passwörter generieren. Wichtig ist, statische Passwörter zu vermeiden, die gemeinsam genutzt werden, und der Versuchung zu widerstehen, „dasselbe Passwort für alle zu verwenden, damit es sich alle merken“.
Schutz sensibler Zugangsdaten und Prozesse: LSASS und Credential Guard
Windows speichert Anmeldeinformationen und Sicherheitsgeheimnisse während des Prozesses LSASS (Subsystem Service der lokalen Sicherheitsbehörde)LSASS steuert Benutzersitzungen und -validierungen. Gelingt es einem Angreifer, den Speicher von LSASS auszulesen, kann er Passwort-Hashes und Kerberos-Tickets extrahieren und sich so lateral bewegen. Darüber hinaus ist es ratsam, Prüfen Sie, ob Ihre Zugangsdaten kompromittiert wurden. und schnell handeln.
Daher ist es auf modernen Workstations und Servern ratsam, LSASS als zu konfigurieren. Prozessschutzleuchte (PPL)Dies verstärkt die Isolation von unzuverlässigen Prozessen. Darüber hinaus ermöglichen viele aktuelle Systeme die Aktivierung Credential Guard, das hardwarebasierte Virtualisierung nutzt, um Anmeldeinformationen und Geheimnisse zu isolieren und so auch die Angriffsfläche für Hash-Diebstahl zu verringern.
Diese Maßnahmen, zusammen mit einer ordnungsgemäßen Segmentierung lokaler Konten, der Verwendung eindeutiger Passwörter und der Beschränkung von Remote-Logins, führen zu einer Umgebung, die wesentlich widerstandsfähiger gegen Eskalations- und Lateral-Movement-Angriffe ist.
Erweiterte lokale Kontoverwaltung und Fernadministration
Auf Domänencontrollern werden Domänenkonten über Active Directory und die üblichen Tools verwaltet, es ist aber auch möglich, … Lokale Benutzer und Gruppen zur Verwaltung von Konten auf entfernten Computern, die keine Domänencontroller sind, vorausgesetzt, das Netzwerk und die Richtlinien erlauben die Fernadministration.
Zusätzlich zur grafischen Benutzeroberfläche stehen Administratoren klassische Hilfsprogramme zur Verfügung, wie zum Beispiel NET.EXE USER und NET.EXE LOCALGROUP zur Verwaltung lokaler Benutzer und Gruppen mithilfe von Skripten und des Moduls Microsoft.PowerShell.LocalAccounts zur Automatisierung der Erstellung, Änderung und Löschung von Konten mit PowerShell.
Korrekt zuweisen Benutzerrechte und Zugriffsberechtigungen Es ist außerdem grundlegend. Rechte (wie das Sichern von Dateien, das Herunterfahren des Computers, das lokale oder über das Netzwerk Anmelden) werden in lokalen oder Domänen-Sicherheitsrichtlinien definiert, während Berechtigungen über ACLs auf bestimmte Objekte (Dateien, Ordner, Drucker) angewendet werden.
Auf Domänencontrollern können lokale Benutzer und Gruppen nicht zur Verwaltung lokaler Konten auf dem Controller selbst verwendet werden, sondern nur zur Steuerung der Administration auf entfernten Mitgliedscomputern. Diese Trennung trägt zur Aufrechterhaltung der Datenintegrität bei. wohldefinierte Domänensicherheit im Vergleich zu den lokalen Konten der einzelnen Maschinen.
Zusammengenommen bilden ein umfassendes Verständnis integrierter Konten, die Verwendung standardmäßiger lokaler Konten für den täglichen Betrieb, die strikte Beschränkung administrativer Konten, die Durchsetzung von Richtlinien zur Einschränkung des Remote-Logins, der Schutz von LSASS und die Gewährleistung eindeutiger Passwörter die Grundlage für die Lokale Konten sind ein sicheres und zuverlässiges Werkzeug sowohl im privaten als auch im geschäftlichen Netzwerk, in Klassenzimmern oder Laboren, wo viele Benutzer Geräte gemeinsam nutzen, aber keine Risiken oder Daten teilen sollten.
