Поиск по сайту:

Удаление прав локального администратора с помощью групповой политики

Чтобы удалить права локального администратора, вам необходимо удалить пользователя или группу из локальной группы администраторов на каждом компьютере. Это можно сделать вручную или автоматизировать с помощью групповой политики или инструментов, таких как AD Pro Toolkit.

В этой статье

  • Создайте отчет пользователей с локальными правами администратора

  • Как удалить права локального администратора с помощью групповой политики

    • Создать новую GPO
    • Запустите gpupdate или перезагрузите компьютер
    • Исключение компьютеров из политики GPO (разрешить определенным пользователям оставаться с правами администратора)
  • Удалите права локального администратора с помощью инструмента AD Pro Toolkit

Почему права локального администратора представляют собой огромный риск безопасности

Вы не хотите, чтобы ваши пользователи входили в компьютеры и выполняли ежедневную работу с правами администратора. Использование прав администратора является основным методом, который злоумышленники используют для распространения и получения контроля над системами внутри организации.

Сценарий 1: Пользователь вошел в свою учетную запись на компьютере с правами администратора, и его обманом заставили открыть электронное письмо, содержащее вредоносный вложение. Это вложение содержит исполняемый код и выполняется на компьютере. Поскольку пользователь вошел с правами администратора, этот вредоносный код имеет полные права на компьютер, он может установить кейлоггер, сниффер, запустить программное обеспечение-вымогатель и зашифровать все файлы, установить программное обеспечение для удаленного управления и так далее. Непорядок.

Сценарий 2: Кто-то... может быть, техник службы поддержки создал локального пользователя на нескольких компьютерах с одинаковым паролем и добавил его в группу местных администраторов. Если злоумышленник взломал этот пароль, он получает административный доступ ко всем машинам, на которых была создана эта учетная запись. Затем злоумышленник мог бы перемещаться латерально от системы к системе, устанавливая вредоносные файлы, крадя данные и так далее.

Обе ситуации могут быть смягчены контролем над вашими локальными административными группами. Теперь... Давайте перейдём к обучению.

Создайте отчет пользователей с локальными правами администратора

Очень важно сначала подготовить отчет по всем компьютерам, чтобы увидеть, у кого есть права местного администратора. Затем обсудите этот отчет с сотрудниками, чтобы поговорить о том, почему у этих пользователей или групп есть права местного администратора на их компьютерах. Следующим шагом было бы получить одобрение на удаление этих пользователей.

Я проходил через этот процесс с крупными организациями, и люди очень сердятся, когда у них забирают права администратора. Плюс ко всему, что-то может сломаться. Я настоятельно рекомендую вам сообщить о этих изменениях и получить надлежащее одобрение.

В этом примере я буду использовать инструменты AD Pro для создания отчета о локальных администраторах.

Вот шаги:

1. Скачайте и установите комплект инструментов - Вы можете скачать бесплатную пробную версию здесь.
2. Откройте комплект инструментов -> Отчет о локальных администраторах
3. Выберите параметры поиска (выберите весь домен или OU/Группу)
4. Нажмите Запустить

Когда выполнение закончится, вы можете сортировать и фильтровать по любому столбцу. Вы можете экспортировать этот отчет в CSV для своих записей. Хорошая идея - поделиться этим отчетом с сотрудниками, чтобы они имели представление о том, кто имеет административные права и кто будет удален.

Как удалить права локального администратора с помощью групповой политики

Совет: Я рекомендую вам протестировать эти изменения на одном компьютере или пользователе, прежде чем внедрять их на всех производственных системах.

Сначала давайте проверим компьютер и посмотрим, какие учетные записи находятся в группе локальных администраторов. Это можно легко сделать, используя следующую команду PowerShell.

Get-LocalGroupMember administrators

На скриншоте видно, что в группе администраторов есть несколько локальных и доменных пользователей.

Вы также можете получить этот отчет из инструментария AD Pro.

Это плохо.

Вы можете видеть, что на ПК2 есть локальный пользователь и три групп домена, которые являются членами группы локальных администраторов.

Используя групповые политики, я могу не только удалить эти учетные записи, но и контролировать, какие учетные записи пользователей или группы являются членами этой группы. Если кто-то попытается вручную добавить пользователя в эту группу, групповая политика это переопределит.

Мне нравится помещать все компьютеры в организационную единицу, это упрощает применение групповых политик к учетным записям компьютеров.

Создать новую GPO

Шаг 1. Щелкните правой кнопкой мыши на организационном отделе, к которому вы хотите применить GPO, и выберите «Создать GPO в этом домене и связать его здесь»

Шаг 2. Укажите имя GPO и нажмите OK

Теперь вам нужно отредактировать групповую политику.

Шаг 3. Щелкните правой кнопкой мыши на GPO и выберите "Изменить"

Шаг 4. Перейдите к следующим настройкам GPO

Конфигурация компьютера -> Настройки -> Параметры панели управления -> Локальные пользователи и группы

Теперь щелкните правой кнопкой мыши в правом окне и выберите новый -> Локальная группа

Свойства новой локальной группы

  • Действие: Обновить
  • Название группы: Администраторы (встроенные)
  • Удалить всех пользователей-членов: Это удалит всех пользователей из локальной группы администраторов. Я собираюсь установить этот флажок.
  • Удалить все группы участников: Это удалит все группы из локальной группы администраторов. Я собираюсь поставить галочку в этом поле.

Члены:

Нажмите "Добавить" и выберите членов, которых вы хотите добавить в группу локальных администраторов. Вы, вероятно, захотите сохранить учетную запись локального администратора и группу доменных администраторов в качестве локальных администраторов... но это полностью зависит от вас. Я также собираюсь добавить группу, в которую входят сотрудники службы поддержки, чтобы у них были права локального администратора на компьютерах.

Скриншот моих настроек

Указанные выше настройки удалят всех пользователей и группы из локальной группы администраторов, а затем добавят обратно пользователей, указанных в поле членов. Это очистит все нежелательные учетные записи и добавит только те учетные записи, которые вы одобрили через GPO.

Примечание: Пользователь с правами администратора все еще может изменять состав группы локально, но когда обновится GPO, состав вернется к настройкам GPO.

Запустите gpupdate или перезагрузите компьютер

Теперь, когда GPO создан и связан с организационной единицей, давайте протестируем его.

На ПК1 я выполню следующую команду, чтобы принудительно обновить групповую политику.

gpupdate /force

Как только команда будет завершена, я снова проверю членство в группе. Ниже приведен скриншот до и после. Вы можете увидеть, что GPO удалил участников из группы локальных администраторов и настроил участников в соответствии с настройками GPO.

Довольно круто, да?

Вы можете видеть по скриншоту, что нежелательные учетные записи были удалены из группы администраторов. GPO удалил три группы и две локальные учетные записи пользователей. Затем он добавил группу администраторов домена, группу IT_Wrk_Admin и локальную учетную запись администратора.

Любой компьютер, к которому вы примените эту политику, получит эти точные настройки. Если вы решите удалить все учетные записи пользователей и групп членов, это действительно удалит эти учетные записи из группы локальных администраторов. Я рекомендую вам протестировать это перед внедрением в эксплуатацию.

Исключить компьютеры из политики GPO

Если вам нужно исключить компьютер из этой политики, выполните следующие шаги:

Совет: Существует множество плохо написанных программ, которые не запускаются без предоставления пользователям прав администратора. Если вы можете избежать этих программ, пожалуйста, сделайте это. Это нелепо, что все еще существуют компании, продающие программное обеспечение, которое не может работать без прав администратора... снова попробуйте избегать этих программ. Если вы не можете, то обратите внимание на программы повышения привилегий, такие как BeyondTrust и PolicyPak. Эти программы позволяют вам настраивать программы так, чтобы их можно было запускать без предоставления пользователю прав администратора.

Шаг 1. Создайте новую группу Active Directory. Назовите её как хотите.

Шаг 2. Добавьте учетную запись компьютера, которую вы хотите исключить, в эту группу.

Шаг 3. В консоли управления групповыми политиками выберите созданный вами GPO и выберите вкладку делегирования.

Теперь нажмите на вкладку «Дополнительно»

Нажмите 'Добавить' и выберите группу, которую вы только что создали.

Теперь убедитесь, что эта группа имеет только такие разрешения:

Читать: Разрешить
Применить групповую политику: Запретить

Это запретит любому члену этой группы применять этот GPO. Это очень простой способ исключить компьютеры из применения этого GPO. Это также облегчает управление: если вы хотите знать, кто исключен из GPO, вы можете просто проверить членов группы AD.

Теперь я проверю, исключен ли компьютер, используя команду gpresult.

Чтобы увидеть все применённые GPO к компьютеру и пользователю, введите эту команду.

gpresult /r

Вам нужно быть администратором на компьютере, чтобы получить результаты компьютера.

Вы можете видеть, что групповая политика "GPO Computer - Члены локальной группы администраторов" применяется к этому компьютеру. Я перезагрузю компьютер и снова выполню команду. После перезагрузки я больше не должен видеть, чтобы эта групповая политика применялась к этому компьютеру, поскольку ей запрещено применяться.

Я снова запущу gpresult /r

Вы можете видеть, что GPO больше не применяется к этому компьютеру. Чтобы узнать больше о фильтрации групповых политик, ознакомьтесь с моим руководством по управлению групповыми политиками.

Совет: Сначала вам следует провести аудит прав пользователей и понять, почему у них есть права локального администратора. Вы не хотите включать эту политику на всех компьютерах, не протестировав и не поняв ее влияние. К сожалению, существуют программы, которые все еще требуют повышенных прав, и применение этой политики может привести к сбоям и предотвращению работы программ.

Вы можете использовать набор инструментов AD Pro для простого создания отчета и его экспорта в файл CSV.

Удалите права локального администратора с помощью инструмента AD Pro Toolkit

Инструмент AD Pro Toolkit упрощает удаление прав администратора на компьютерах с Windows. Вы можете удалить нескольких пользователей из группы локальных администраторов на нескольких компьютерах одновременно.

  1. Нажмите на Инструменты безопасности > Отчет о местных администраторах
  2. Выберите организационную единицу или оставьте по умолчанию, чтобы просканировать весь домен.
  3. Нажмите «Запуск», чтобы начать сканирование.
  4. Выберите учетные записи, которые вы хотите удалить из группы администраторов, и нажмите «Удалить участника».

Если у вас есть вопросы, оставляйте их в комментариях ниже.

Узнать больше

  • Использование возможностей групповой политики для управления локальной группой администраторов
  • Найдите локальных администраторов на всех компьютерах
  • Инструмент сканирования локального администратора