Når almindelige medarbejdere er administratorer på deres egen computer, kan alt, hvad de åbner og kører, gøre det samme som dem. En vedhæftet fil, et program fra en hjemmeside eller en udvidelse til browseren får så fuld kontrol over maskinen i stedet for kun adgang til brugerens egne filer. Svaret på fundet hviler på princippet om mindst mulig adgang: brugeren arbejder til daglig uden administratorrettigheder, og de få opgaver, der kræver mere, løses ad en anden og kontrolleret vej.
Fundet er let at forstå og svært at rette. Rettighederne kan være givet for at løse et problem, og ingen vil være den, der skaber problemet igen.
Sådan opstår fundet
Administratorrettigheder til brugerne er ikke nødvendigvis en politik. Det er summen af mange små beslutninger.
- Et program, der krævede det · et ældre fagprogram kunne kun opdateres med administratorrettigheder, og løsningen blev at give dem til alle, der brugte det.
- Udviklere og teknikere · en gruppe med reelle behov fik rettigheder, og gruppen voksede.
- Ledelsen · en undtagelse for at undgå besvær, som aldrig blev taget op igen.
- Arv fra opsætningen · maskiner, der engang blev sat op i hånden, eller hvor den første bruger automatisk blev administrator.
- Servicedeskens genvej · rettigheder givet midlertidigt for at løse en sag og aldrig fjernet.
Microsoft skriver i sin vejledning om mindst mulig adgang, at brugere i mange miljøer får administratorrettigheder på deres egen pc, og at de så udgør en øget risiko for maskinens integritet. → Mindst mulig adgang i praksis
Hvad testen ser på
En klienttest eller intern test undersøger, hvilke rettigheder testbrugeren har, og hvad de rækker til. Den ser også på, om en bruger uden rettigheder kan få dem gennem fejl i opsætningen.
- Direkte rettigheder · om brugeren er medlem af den lokale administratorgruppe, direkte eller gennem en gruppe.
- Grupper med for mange medlemmer · om store grupper i kataloget er lagt ind som lokale administratorer på mange maskiner.
- Andre veje til mere · om indstillinger, tjenester eller planlagte opgaver giver brugeren mulighed for at opnå højere rettigheder.
- Hvad der følger med · om administratorrettigheder på klienten giver adgang til oplysninger, der kan bruges videre i nettet. → Lokale administratorkonti på klienter og servere
Fortæl testeren, hvilke grupper der har udvidede rettigheder og hvorfor. Så kan rapporten skelne mellem det, der er et bevidst valg, og det, der er en fejl.
Overvej også, om testen skal suppleres med en opgørelse. En test med én bruger viser, hvad den bruger kan. Den viser ikke, hvor udbredt fundet er. Driften kan måske selv trække en oversigt over medlemmerne af de lokale administratorgrupper på tværs af maskinerne. Lagt ved siden af testens fund giver oversigten et billede af, hvor stor rettelsen er, og hvilke afdelinger den rammer. Det er også det tal, ledelsen vil spørge til, når der skal afsættes tid til rettelsen.
Hvorfor fundet vejer
Med administratorrettigheder kan skadelig kode slå beskyttelse fra, installere sig, så den overlever en genstart, og læse oplysninger, som andre har efterladt på maskinen. Uden rettighederne er skaden i udgangspunktet begrænset til brugerens egne data.
Det betyder også, at mange andre kontroller afhænger af, at brugeren ikke er administrator. Microsofts sikkerhedsbaselines er bygget til organisationer, hvor almindelige brugere ikke har administratorrettigheder. Programkontrol, beskyttelsesprogrammer og låste indstillinger kan i vid udstrækning ændres af den, der har fuld kontrol over maskinen. Fundet underminerer derfor resten af klientens opsætning. → Programkontrol
Sådan fjerner I rettighederne uden at stoppe arbejdet
Det er rettelsens udførelse, der afgør, om den holder. Fjernes rettighederne på én dag uden forberedelse, vender de hurtigt tilbage som undtagelser, fordi arbejdet ikke kan gøres uden.
- Kortlæg brugen · find ud af, hvad rettighederne faktisk bruges til. Det kan være et lille antal programmer og opgaver.
- Løs behovet på en anden måde · programmer installeres og opdateres centralt, og fagprogrammer, der kræver rettigheder, undersøges hos leverandøren.
- Lav en kontrolleret vej til forhøjelse · til de få opgaver, der stadig kræver mere, fx en separat konto eller en godkendt, tidsbegrænset forhøjelse, der logges.
- Fjern i trin · start med de grupper, hvor behovet er mindst, og med maskiner, der rummer følsomme data.
- Gør servicedesken klar · den skal vide, hvad der ændres, og have et svar klar, når brugere ringer.
- Fjern de store grupper · grupper i kataloget, der er administratorer på mange maskiner, fjernes eller reduceres til de personer, der har brug for det.
Microsoft foreslår, at brugere med et reelt behov får en separat lokal konto til at hæve rettighederne med, og at den konto har en unik adgangskode på hver maskine. Det begrænser, hvor langt en misbrugt konto kan nå. → Rettelser uden at stoppe driften
Undtagelser, der skal leve
Nogle grupper har reelle behov. Udviklere, der tester egne programmer, og teknikere, der arbejder med udstyr, kan have brug for mere end en almindelig bruger. Det skal ikke skjules, men styres.
- Skriftlig begrundelse · hvem der har undtagelsen, hvorfor og til hvornår.
- Adskilte maskiner eller konti · den daglige mail og browsing sker ikke med de udvidede rettigheder.
- Fast gennemgang · undtagelserne tages op med jævne mellemrum, så de ikke bliver permanente af sig selv.
En undtagelse med en ejer og en dato er en beslutning. En undtagelse uden er et fund i næste rapport.
Det samme gælder MSP’er, der administrerer mange kunders maskiner. Er administratorrettigheder til brugerne standard i jeres opsætning hos kunderne, er rettelsen en ændring af jeres egen skabelon og ikke en opgave pr. kunde.
Det skal I lade være med
- At fjerne alle rettigheder på én gang uden kortlægning. Brugerne finder egne løsninger, og undtagelserne vender tilbage.
- At give en ny fælles adgangskode til forhøjelse. Så har I flyttet problemet.
- At overse grupper i kataloget. En stor gruppe som lokal administrator gør fundet bredere end den enkelte bruger.
- At lade ledelsen være undtaget uden begrundelse. Deres maskiner kan indeholde de mest følsomme data.
- At glemme servicedesken. Den møder ændringen først. → Skærpelser, brugerne mærker
Hvad kan og ikke kan konkluderes
Testen viser, hvilke rettigheder testbrugeren havde, og om der var veje til flere. Den viser ikke, hvor mange andre brugere der har samme rettigheder, med mindre opgørelsen er en del af opgaven. Et resultat uden fund for en standardbruger udelukker ikke, at grupper med undtagelser har langt flere rettigheder.
Tjekliste til brugerrettigheder
- ☐ Ved I, hvilke brugere og grupper der er lokale administratorer?
- ☐ Er det kortlagt, hvad rettighederne bruges til?
- ☐ Kan programmer installeres og opdateres centralt?
- ☐ Findes der en kontrolleret og logget vej til forhøjelse?
- ☐ Har hver undtagelse en begrundelse, en ejer og en dato?
- ☐ Er servicedesken klar til ændringen?
Kilder
- Microsoft Learn: Implementing Least-Privilege Administrative Models: brugere med lokale administratorrettigheder på egen pc udgør en øget risiko; forslag om en separat lokal konto til forhøjelse med unik adgangskode.
- Microsoft Learn: Security baselines guide: baselinerne er udformet til organisationer, hvor almindelige brugere ikke har administratorrettigheder.
Senest gennemgået: oktober 2026.
Næste skridt
Del af: Artikler til IT-afdelingen
Læs også: Lokale administratorkonti · Mindst mulig adgang i praksis
→ Kontakt · Tlf. 70 13 63 23 · Penetrationstest hos Nielco IT
