Konta administratorów w firmie. Dlaczego nie powinno się pracować na koncie admina?

Konto administratora to nie zwykłe konto użytkownika

W wielu firmach konto administratora jest traktowane jak wygodny skrót. Pracownik IT, właściciel firmy albo kierownik loguje się na konto z pełnymi uprawnieniami, bo „tak jest szybciej”. Można zainstalować program, zmienić ustawienia, nadać dostęp, usunąć konto, skonfigurować pocztę, wejść do panelu administracyjnego i rozwiązać problem bez przełączania się między kontami.

To wygodne, ale ryzykowne.

Konto administratora powinno służyć do administracji, a nie do codziennej pracy. Nie powinno być używane do normalnego odbierania poczty, przeglądania internetu, pracy w dokumentach, obsługi klientów, logowania do przypadkowych stron ani używania komunikatorów. Im częściej konto z wysokimi uprawnieniami jest używane na co dzień, tym większa szansa, że zostanie przejęte, wykorzystane przez złośliwe oprogramowanie albo użyte przez pomyłkę do wykonania szkodliwej operacji.

W praktyce konto administratora powinno być traktowane jak klucz do całej firmy. Nie nosi się go cały czas w otwartej dłoni. Używa się go wtedy, gdy faktycznie jest potrzebny.

Co może zrobić konto administratora?

Zakres uprawnień zależy od środowiska, ale zwykle konto administratora ma dostęp do najważniejszych ustawień firmy.

Może między innymi:

1. tworzyć i usuwać konta użytkowników,
2. resetować hasła,
3. zmieniać metody MFA,
4. nadawać dostęp do poczty i plików,
5. zarządzać Microsoft 365,
6. konfigurować Exchange Online,
7. zmieniać uprawnienia w SharePoint,
8. zarządzać komputerami i serwerami,
9. instalować oprogramowanie,
10. wyłączać zabezpieczenia,
11. modyfikować backup,
12. zmieniać ustawienia sieci,
13. zarządzać domeną,
14. konfigurować VPN,
15. usuwać dane.

W Microsoft 365 szczególnie ważne są role administracyjne. Microsoft opisuje, że administrator globalny ma bardzo szeroką kontrolę nad kontami użytkowników i ustawieniami w centrum administracyjnym.

Jeżeli takie konto zostanie przejęte, problem nie dotyczy już tylko jednej skrzynki pocztowej. Atakujący może próbować przejąć kolejne konta, zmieniać ustawienia, tworzyć nowe reguły, wyłączać zabezpieczenia, usuwać dane albo utrudniać odzyskanie kontroli nad środowiskiem.

Dlaczego codzienna praca na koncie admina jest ryzykowna?

Codzienna praca oznacza stały kontakt z pocztą, stronami internetowymi, załącznikami, dokumentami, komunikatorami i plikami od innych osób. To właśnie tam najczęściej pojawia się phishing, złośliwe załączniki, fałszywe strony logowania i ryzykowne linki.

Jeżeli użytkownik pracuje na zwykłym koncie, skutki błędu są mniejsze. Jeśli kliknie podejrzany link albo uruchomi zainfekowany plik, atakujący może uzyskać dostęp do jego danych i uprawnień. To nadal poważny problem, ale zakres szkód jest ograniczony.

Jeżeli ten sam błąd wydarzy się na koncie administratora, skutki mogą być dużo poważniejsze. Atakujący może dostać dostęp do panelu administracyjnego, innych kont, konfiguracji poczty, plików firmowych, backupu, serwerów i zabezpieczeń.

Dlatego zasada jest prosta: do codziennej pracy używamy konta zwykłego, a konto administratora wykorzystujemy tylko wtedy, gdy trzeba wykonać zadanie administracyjne.

Zasada najmniejszych uprawnień

Jedną z podstawowych zasad bezpieczeństwa jest zasada najmniejszych uprawnień. Oznacza ona, że użytkownik powinien mieć tylko takie uprawnienia, które są potrzebne do wykonywania jego pracy.

Nie każdy pracownik powinien być administratorem. Nie każdy informatyk musi mieć stałe pełne uprawnienia globalne. Nie każda osoba obsługująca użytkowników musi mieć dostęp do wszystkich ustawień Microsoft 365, serwerów i plików.

Microsoft w zaleceniach dla ról Microsoft Entra wskazuje, że przy planowaniu strategii dostępu dobrą praktyką jest zarządzanie zgodnie z zasadą najmniejszych uprawnień.

W praktyce oznacza to:

1. zwykły użytkownik pracuje na zwykłym koncie,
2. administrator ma osobne konto do pracy administracyjnej,
3. uprawnienia są nadawane tylko wtedy, gdy są potrzebne,
4. rola administratora globalnego jest ograniczona do minimum,
5. do konkretnych zadań używa się ról szczegółowych,
6. dostęp uprzywilejowany jest regularnie przeglądany,
7. odejście pracownika oznacza natychmiastowe odebranie dostępów,
8. konta nieużywane są blokowane lub usuwane.

To nie jest przesadna formalność. To podstawowa higiena bezpieczeństwa.

Osobne konto do pracy i osobne konto administratora

Najbezpieczniejszy model jest prosty: jedna osoba może mieć dwa konta.

Pierwsze konto służy do codziennej pracy:

1. poczta,
2. Teams,
3. dokumenty,
4. kalendarz,
5. CRM,
6. ERP,
7. przeglądanie internetu,
8. komunikacja z klientami.

Drugie konto służy tylko do administracji:

1. zarządzanie użytkownikami,
2. resetowanie haseł,
3. konfiguracja MFA,
4. zmiany w Microsoft 365,
5. konfiguracja serwerów,
6. administracja SharePoint,
7. zarządzanie uprawnieniami,
8. prace serwisowe.

Microsoft w zaleceniach dotyczących bezpiecznego dostępu administratorów w Microsoft Entra wprost wskazuje na separację kont użytkowników od kont administratorów globalnych.

Takie rozdzielenie ogranicza ryzyko. Nawet jeśli zwykłe konto użytkownika zostanie zaatakowane przez phishing, konto administracyjne nie musi być od razu przejęte. Atakujący ma wtedy trudniejszą drogę do najważniejszych ustawień firmy.

Dlaczego konto admina nie powinno mieć zwykłej poczty?

Poczta jest jednym z głównych kanałów ataku. To przez e-mail przychodzą fałszywe faktury, linki do logowania, zainfekowane załączniki i wiadomości podszywające się pod kontrahentów.

Jeżeli konto administratora ma aktywną skrzynkę używaną na co dzień, ryzyko rośnie. Administrator może dostać phishing bezpośrednio na konto z wysokimi uprawnieniami. Może też używać tego konta do rejestracji w zewnętrznych serwisach, co zwiększa ekspozycję konta.

Dlatego konto administracyjne najlepiej ograniczyć do czynności administracyjnych. Nie powinno być główną skrzynką kontaktową, kontem do newsletterów, kontem do obsługi klientów ani kontem do codziennej wymiany dokumentów.

Dobrą praktyką jest:

1. zwykła poczta na zwykłym koncie,
2. konto admina bez codziennej korespondencji,
3. brak używania konta admina do przeglądania internetu,
4. brak logowania do przypadkowych usług,
5. MFA na koncie admina,
6. alerty dla logowań administracyjnych,
7. silna kontrola aktywnych sesji.

Administrator globalny nie powinien być używany do wszystkiego

W Microsoft 365 często spotyka się sytuację, w której jedna osoba ma rolę administratora globalnego i wykonuje z niej wszystkie zadania: reset haseł, konfigurację poczty, dodawanie użytkowników, zarządzanie licencjami, dostępem do plików i ustawieniami zabezpieczeń.

To nie zawsze jest potrzebne.

Microsoft udostępnia wiele ról administracyjnych, które można dopasować do konkretnego zadania. Są między innymi role do zarządzania użytkownikami, grupami, usługami, Exchange, SharePoint, Teams, zabezpieczeniami czy rozliczeniami. Microsoft opisuje też listę ról o najmniejszych wymaganych uprawnieniach dla konkretnych zadań.

Przykładowo:

1. osoba od resetowania haseł nie musi mieć pełnych uprawnień globalnych,
2. osoba od licencji nie musi zarządzać zabezpieczeniami,
3. osoba od SharePoint nie musi zarządzać Exchange,
4. osoba od pomocy użytkownikom nie musi mieć dostępu do wszystkich ustawień tenant’a,
5. osoba od faktur Microsoft nie musi mieć praw do zmiany MFA.

Mniej globalnych administratorów to mniejsze ryzyko.

Co może się stać po przejęciu konta administratora?

Przejęcie konta administratora to jeden z poważniejszych incydentów bezpieczeństwa w firmie. Skutki zależą od uprawnień, ale mogą obejmować:

1. reset haseł innych użytkowników,
2. przejęcie skrzynek pocztowych,
3. wyłączenie MFA,
4. dodanie nowych metod uwierzytelniania,
5. utworzenie nowych kont,
6. nadanie sobie dodatkowych uprawnień,
7. zmianę reguł poczty,
8. przekierowanie wiadomości,
9. dostęp do plików w SharePoint i OneDrive,
10. zmianę zasad bezpieczeństwa,
11. usunięcie danych,
12. manipulację backupem,
13. zmianę konfiguracji serwera,
14. utrudnienie odzyskania kontroli nad środowiskiem.

W praktyce atakujący nie musi od razu niszczyć danych. Często najpierw próbuje utrzymać dostęp, obserwować korespondencję, tworzyć nowe konta, zmieniać reguły i przygotowywać kolejny etap ataku.

Więcej o ukrywaniu działań w poczcie opisaliśmy w artykule Podejrzane reguły w poczcie. Jak wykryć, że ktoś przejął skrzynkę firmową?.

Lokalne konto administratora na komputerze

Temat nie dotyczy tylko Microsoft 365. Ważne są też lokalne konta administratora na komputerach.

Jeżeli pracownik na co dzień pracuje na koncie z uprawnieniami administratora lokalnego, może łatwiej:

1. instalować przypadkowe programy,
2. uruchamiać niebezpieczne pliki,
3. zmieniać ustawienia systemu,
4. wyłączać zabezpieczenia,
5. instalować dodatki i sterowniki,
6. uszkodzić konfigurację,
7. ułatwić działanie malware.

W wielu firmach użytkownicy dostają prawa administratora lokalnego „na wszelki wypadek”. To wygodne przy instalacji drukarki, programu albo aktualizacji, ale zwiększa ryzyko. Lepszy model to zwykłe konto użytkownika i osobna procedura instalacji lub podniesienia uprawnień, gdy faktycznie jest to potrzebne.

Konta serwisowe i wspólne hasła

Osobnym problemem są konta współdzielone, np. jedno konto administratora znane kilku osobom. Takie rozwiązanie utrudnia kontrolę i rozliczalność. Jeżeli kilka osób zna jedno hasło, trudno później ustalić, kto wykonał daną zmianę.

Ryzykowne są szczególnie:

1. jedno wspólne konto administratora,
2. hasło zapisane w pliku tekstowym,
3. hasło w Excelu,
4. hasło wysyłane mailem,
5. konto używane przez wiele osób,
6. brak MFA,
7. brak historii zmian,
8. brak procedury zmiany hasła po odejściu pracownika,
9. konto administratora używane przez zewnętrzny serwis bez kontroli.

Jeżeli konto administracyjne jest potrzebne kilku osobom, lepiej używać indywidualnych kont z przypisanymi rolami i audytem działań. Hasła techniczne powinny być przechowywane w bezpiecznym menedżerze haseł, a dostęp powinien być nadawany tylko osobom, które faktycznie go potrzebują.

Więcej o tym temacie opisaliśmy w artykule Menedżer haseł w firmie. Dlaczego hasła w Excelu i przeglądarce to ryzyko?.

MFA na kontach administratorów

Konta administratorów powinny mieć obowiązkowe MFA. Hasło nie wystarczy. Jeżeli hasło zostanie wyłudzone, odgadnięte lub użyte ponownie z innego wycieku, MFA może zatrzymać atak albo przynajmniej utrudnić przejęcie konta.

Microsoft w dokumentacji dotyczącej ról administratorów Microsoft 365 wskazuje wymaganie MFA dla wszystkich użytkowników, szczególnie administratorów.

W praktyce warto zadbać o:

1. MFA dla wszystkich administratorów,
2. bezpieczne metody MFA,
3. brak SMS jako jedynej metody tam, gdzie można użyć mocniejszej,
4. alerty nietypowych logowań,
5. oddzielne konto admina,
6. ograniczenie logowań z nieznanych lokalizacji,
7. okresowy przegląd metod uwierzytelniania,
8. blokowanie starych metod logowania.

MFA nie zastępuje zasady najmniejszych uprawnień, ale jest jedną z najważniejszych warstw ochrony.

Więcej o MFA opisaliśmy w artykule MFA w firmie. Jak zabezpieczyć konta pracowników, pocztę, ERP i KSeF?.

Konta awaryjne, czyli break-glass

Firma powinna mieć plan awaryjny na wypadek utraty dostępu do kont administracyjnych. W Microsoft 365 i Microsoft Entra często mówi się o kontach awaryjnych, czyli tzw. break-glass accounts.

To konta używane tylko w sytuacji awaryjnej, np. gdy standardowi administratorzy zostaną zablokowani, MFA przestanie działać albo pojawi się problem z dostępem do środowiska.

Microsoft w zaleceniach dla bezpiecznego dostępu administratorów wskazuje potrzebę zdefiniowania co najmniej dwóch kont awaryjnych.

Takie konta powinny być:

1. znane tylko uprawnionym osobom,
2. bardzo dobrze zabezpieczone,
3. monitorowane,
4. nieużywane na co dzień,
5. sprawdzane okresowo,
6. opisane w procedurze awaryjnej.

Konto awaryjne nie jest kontem do codziennej pracy. To zabezpieczenie na sytuacje krytyczne.

Jak uporządkować konta administratorów w firmie?

Porządkowanie warto zacząć od audytu. Nie chodzi tylko o sprawdzenie, kto ma rolę administratora globalnego. Trzeba sprawdzić wszystkie miejsca, w których występują podwyższone uprawnienia.

Lista kontrolna:

1. Kto ma uprawnienia administratora globalnego?
2. Kto ma role administracyjne w Microsoft 365?
3. Kto zarządza Exchange, SharePoint, Teams i zabezpieczeniami?
4. Kto ma lokalne prawa administratora na komputerach?
5. Kto zna hasła do routera, firewall’a, NAS-a i serwerów?
6. Czy są konta współdzielone?
7. Czy są konta po byłych pracownikach?
8. Czy wszystkie konta adminów mają MFA?
9. Czy administratorzy mają osobne konta do codziennej pracy?
10. Czy istnieją konta awaryjne?
11. Czy logowania administratorów są monitorowane?
12. Czy role są zgodne z realnymi obowiązkami?

Dopiero po takim przeglądzie można ograniczać uprawnienia, usuwać nadmiarowe role, tworzyć osobne konta administracyjne i wdrażać lepsze zabezpieczenia.

Najczęstsze błędy firm

Najczęstsze problemy to:

1. praca na koncie administratora każdego dnia,
2. jedno wspólne konto admina dla kilku osób,
3. brak MFA na kontach uprzywilejowanych,
4. zbyt wielu administratorów globalnych,
5. nadawanie uprawnień „na zapas”,
6. brak odbierania uprawnień po zakończeniu współpracy,
7. lokalny administrator na każdym komputerze,
8. brak kont awaryjnych,
9. brak audytu logowań,
10. brak dokumentacji, kto ma dostęp do czego,
11. przechowywanie haseł administratorów w Excelu,
12. używanie konta admina do poczty i internetu.

Każdy z tych błędów zwiększa ryzyko. Kilka błędów naraz może oznaczać, że jedno przejęte hasło wystarczy do poważnego incydentu.

Jak IT-LOGIC może pomóc?

IT-LOGIC pomaga firmom uporządkować konta administratorów, dostęp do Microsoft 365, komputery, serwery i procedury bezpieczeństwa. Możemy sprawdzić, kto ma nadmiarowe uprawnienia, czy konta administratorów są oddzielone od codziennej pracy i czy MFA jest poprawnie wdrożone.

Pomagamy między innymi w takich obszarach jak:

1. audyt kont administratorów,
2. analiza ról Microsoft 365,
3. ograniczenie liczby administratorów globalnych,
4. wdrożenie osobnych kont administracyjnych,
5. konfiguracja MFA,
6. kontrola lokalnych administratorów na komputerach,
7. uporządkowanie kont serwisowych,
8. zabezpieczenie kont awaryjnych,
9. przegląd kont po byłych pracownikach,
10. wdrożenie menedżera haseł,
11. dokumentacja dostępów,
12. stała obsługa IT i Microsoft 365.

Więcej informacji znajdziesz na stronie outsourcing IT oraz oprogramowanie dla firm.

FAQ: konta administratorów w firmie

Czy można pracować na koncie administratora?

Technicznie można, ale nie jest to dobra praktyka. Konto administratora powinno być używane tylko do zadań administracyjnych. Do poczty, dokumentów, internetu i codziennej pracy lepiej używać zwykłego konta użytkownika.

Dlaczego konto administratora jest bardziej ryzykowne?

Bo ma większe uprawnienia. Jeżeli zostanie przejęte, atakujący może uzyskać dostęp do kont użytkowników, poczty, plików, ustawień zabezpieczeń, serwerów i innych zasobów firmy.

Czy administrator powinien mieć osobne konto?

Tak. Dobrą praktyką jest osobne konto do codziennej pracy i osobne konto do administracji. Konto administracyjne nie powinno być używane do normalnej poczty i przeglądania internetu.

Czy każdy informatyk powinien być administratorem globalnym?

Nie. Uprawnienia powinny być dopasowane do zadań. Jeżeli dana osoba zajmuje się tylko resetem haseł albo licencjami, nie musi mieć pełnych uprawnień globalnych.

Czy MFA na koncie administratora jest konieczne?

Tak. Konta administratorów powinny mieć obowiązkowe MFA. Hasło samo w sobie nie zapewnia wystarczającej ochrony.

Czym jest zasada najmniejszych uprawnień?

To zasada, zgodnie z którą użytkownik otrzymuje tylko takie uprawnienia, które są potrzebne do wykonania jego zadań. Nie więcej.

Czy lokalny administrator na komputerze użytkownika to problem?

Tak, jeśli jest używany na co dzień. Zwiększa ryzyko instalacji niebezpiecznego oprogramowania, zmiany ustawień systemu i skutków działania malware.

Czym są konta awaryjne?

To specjalne konta używane tylko w sytuacjach krytycznych, gdy standardowi administratorzy nie mogą uzyskać dostępu do środowiska. Nie służą do codziennej pracy.

Krótki słownik pojęć

Konto administratora
Konto z podwyższonymi uprawnieniami, które pozwala zarządzać użytkownikami, systemami, ustawieniami i zasobami firmy.

Administrator globalny
Rola w Microsoft 365 i Microsoft Entra dająca bardzo szerokie uprawnienia do zarządzania środowiskiem.

Zasada najmniejszych uprawnień
Podejście, w którym użytkownik otrzymuje tylko te uprawnienia, które są konieczne do wykonywania jego obowiązków.

MFA
Uwierzytelnianie wieloskładnikowe, czyli dodatkowe zabezpieczenie logowania poza samym hasłem.

Konto uprzywilejowane
Konto mające większe uprawnienia niż zwykły użytkownik, np. administrator systemu, administrator Microsoft 365 lub administrator serwera.

Konto awaryjne
Specjalne konto administracyjne używane tylko w sytuacji kryzysowej, gdy standardowy dostęp administracyjny jest niedostępny.

Lokalny administrator
Konto lub uprawnienie administratora na konkretnym komputerze z systemem Windows.

Rola administracyjna
Zestaw uprawnień przypisany użytkownikowi, np. do zarządzania pocztą, użytkownikami, grupami, bezpieczeństwem lub licencjami.

Podsumowanie

Konto administratora nie powinno służyć do codziennej pracy. Im częściej jest używane do poczty, internetu, dokumentów i zwykłych zadań, tym większe ryzyko, że błąd użytkownika lub atak phishingowy doprowadzi do poważnego incydentu.

Bezpieczniejsze podejście polega na rozdzieleniu kont: zwykłe konto do pracy codziennej, osobne konto do administracji. Do tego potrzebne są MFA, zasada najmniejszych uprawnień, ograniczenie liczby administratorów globalnych, kontrola lokalnych administratorów, dokumentacja oraz regularny przegląd dostępów.

W firmie nie chodzi o to, żeby utrudniać pracę. Chodzi o to, żeby jedno przejęte konto nie dawało dostępu do całej organizacji.

Chcesz sprawdzić, czy konta administratorów w Twojej firmie są bezpieczne?

IT-LOGIC pomoże przeanalizować konta administratorów, role w Microsoft 365, lokalne uprawnienia na komputerach, MFA i procedury dostępu. Możemy wskazać nadmiarowe uprawnienia i uporządkować administrację tak, aby była bezpieczniejsza i łatwiejsza do kontrolowania.

Sprawdź ofertę outsourcing IT oraz oprogramowanie dla firm albo skontaktuj się z IT-LOGIC: 22 786 75 15.