Luk for brugernes administratorrettigheder, det giver en solid sikkerhedsgevinst. Men det kræver en holdningsændring.
Henrik Larsen, der er chef for DKCERT, skriver hver måned på Computerworld Online om aktuelle it-sikkerhedsspørgsmål. Kommentarerne bringes her, efterhånden som de udkommer.
Med en enkel ændring kan du forhindre angribere i at udnytte ni ud af ti sårbarheder.
Du skal blot fjerne administratorprivilegierne fra dine Windows-brugeres konti.
Teknisk set er det ikke kompliceret. Det er heller ikke nyt.
Sikkerhedseksperter har i mange år argumenteret for, at almindelige brugere bør være logget ind på en konto uden administratorprivilegier.
Når man er administrator, må man alt på computeren: Installere programmer, installere drivere, ændre firewall-opsætning og hvad man ellers har lyst til.
Nogle sårbarheder giver angribere mulighed for at køre programmer med samme privilegier som den bruger, der er logget ind, når sårbarheden aktiveres.
Dermed kan angriberen fuldstændig det samme som brugeren: Installere programmer og ændre på væsentlige indstillinger.
Hvis man fjerner administratorprivilegierne, fjerner man ikke sårbarhederne. Men man begrænser den skade, de kan medføre.
Virker på 97 procent
En analyse fra firmaet Avecto viste for nylig, hvor effektiv metoden er. Firmaet har analyseret de 240 sårbarheder, som Microsoft rettede i 2014.
Analysen viser, at 97 procent af de kritiske sårbarheder får mindsket deres skadevirkning, hvis man fjerner administratorprivilegierne.
For Internet Explorer var andelen helt oppe på 99,5 procent.
Tilsvarende analyser har tidligere peget i samme retning. I 2009 viste en analyse fra BeyondTrust, at ni ud af ti kritiske sårbarheder i Windows 7 blev uskadeliggjort med metoden.
Begrænser man mængden af administratorkonti, mindsker man også risikoen ved såkaldte pass-the-hash-angreb.
Det er angreb, hvor angriberen opsnapper den hashværdi, der autentificerer en bruger på et system.
Hvis brugeren har begrænsede privilegier, mindsker det risikoen. Angriberen kan måske overtage brugerens session, men han eller hun kan ikke volde alvorlig skade.
En klar anbefaling
Center for Cybersikkerhed udsendte for halvandet år siden anbefalingen "Cyberforsvar der virker".
Den anbefaler, at man begynder med at implementere fire sikringstiltag - og et af dem er netop at begrænse antallet af konti med domæne- eller lokaladministratorprivilegier.
Det skulle altså være ganske enkelt: Fjern administratorprivilegierne og slip for en masse sikkerhedsrisici.
Alligevel er jeg overbevist om, at rigtig mange danske pc-brugere i både den offentlige og den private sektor har fuld kontorl over deres computere - de er det, der i Windows-sammenhæng kaldes lokal administrator.
Det skulle ikke undre mig, om det er flertallet.
Kulturel barriere
Hvorfor undlader vi at bruge et oplagt middel til at øge sikkerheden?
Jeg tror, en del af forklaringen er historisk og kulturel.
Da pc'erne kom frem, udgjorde de et brud med den centrale kontrol, edb-afdelingen havde udøvet.
Før pc'en måtte enhver bruger rette sig efter de regler, edb-folkene udstak.
Med pc'en fik brugeren kontrol over sin computer.
Han eller hun kunne installere et regnearksprogram og selv udføre de beregninger, som edb-afdelingen ellers brugte måneder på at tilrette de centrale systemer til.
Jeg kommer fra universitetsverdenen.
Der hersker en stolt tradition for, at hver forsker og underviser selv vælger sine værktøjer - og naturligvis har hånd- og halsret over dem.
Noget lignende findes utvivlsomt i mange professioner. Hvem tør fortælle en ingeniør, at han ikke må installere programmer på sin pc?
Teknologi letter opgaven
Heldigvis er teknologien på vores side.
Stadig flere programmer kan i dag installeres uden administratorprivilegier.
Og Microsoft har gjort det enklere at være standardbruger: Man slipper for de bunker af advarsler, som UAC (User Account Control) kom med, da det blev indført i Windows Vista.
Alligevel er det ikke alle organisationer, der kan løse problemet blot ved at flytte fluebenet fra administrator til standardbruger, når de opretter brugere.
Er der brug for mere avanceret styring af privilegierne, findes der en række værktøjer, man kan investere i.
De giver for eksempel mulighed for at indføre undtagelser, hvor teknologien kræver det - så en medarbejder kan køre et enkelt program med administratorprivilegier uden at være administrator.
Vi savner en kulturændring
Men teknologiske løsninger er ikke nok.
De sikkerhedsansvarlige må lære deres brugere, hvorfor det giver bedre sikkerhed at fjerne administratorprivilegierne.
Og de skal lytte til brugerne og afgøre, om der er legitime begrundelser for at indføre undtagelser.
Der er brug for en kulturændring.
Kan vi gennemføre den, kan vi højne informationssikkerheden væsentligt.
Oprindelig offentliggjort på Computerworld Online den 24. april 2015
LINKS
Denne klumme på Computerworld.dk
The Mitigation Game, Avecto