Mihin perustuu se, että tietoturva netissä on parempi jos on liikkeellä muulla kuin järjestelmänvalvojan tilillä. Jos päivitykset ja turvaohjelmat ovat kunnossa niin voiko silloin olla mitään eroa tuossa turvallisuudessa eri tileillä.
Käyttäjätilit/nettiturva ?
Järjestelmänvalvoja
2315
0Äänestä
Muut lukivat myös
Odottaa vastausta
Näihin keskusteluihin ei ole vielä vastattu. Ole ensimmäinen.
Vastaukset 2
Vanhimmat
olet kirjautunut järjestelmänvalvojana koneellesi niin silloin pääset muutamaan kaikki asetuksia,eli paras olis olla muuna kuin sillä niin jos jotain tapahtuu ei kyseinen hyökkääjä pääse muutelemaan säätöjä koneella silloin.
Muistui mieleen bugtraqissa liikkunut viesti, englanninkielinen kylläkin. Joku voi suomentaa jos jaksaa.
One of the lesser-used features of Win2K/WinXP/Win2k3's RunAs capability is
to decrease rather than elevate the access of the interactive user when
running a process.
I use this technique as follows with Internet Explorer:
- Create a secondary account to your normal account, and make it a member of
the "Guests" group only (do NOT make it a member of "Users",
"Administrators" or any other group that would elevate its access).
- Using Group Policy, deny network logon to this account (which it inherits
from the Guests group by default.) Grant the account "Log on Locally"
access explicitly.
- Create a new shortcut for IE with the following commandline:
%SystemRoot%\SYSTEM32\runas.exe /u:SecondaryAccountName /SaveCred
"C:\Program Files\Internet Explorer\iexplore.exe"
(Don't use Explorer's native RunAs capability as it won't remember the
password like the commandline version).
- Change the shortcut icon to point at "C:\Program Files\Internet
Explorer\iexplore.exe"
- If you are paranoid, add ACCESS DENIED ACL's to any file, Registry key or
other resource that you do not want the account running IE to access in the
event that you are compromised. In particular, protect any sensitive
locations such as the Startup folders and Run keys.
The first time you run the shortcut, you'll be prompted for the secondary
account's password; thereafter you'll be able to launch IE as easily as you
would under your own account. However since IE is running under a severely
restricted account, you are now significantly less vulnerable in the event
of zone elevation to the Local Computer.
This approach is not without it's shortcomings of course, e.g.
- When IE is embedded in another app or launched via COM it still runs under
your interactive account
- Ditto if IE is started via association (e.g. clicking on a URL)
- Website credentials are cached under a different profile to your own, and
so on...
tätä käyttämällä on hieman turvallisempaa liikkua adminin/local adminin tunnareilla netissä...