Lokal administratörsåtkomst innebär att det är lättare för angriparen att upprätta en ihållande kontroll av värden, att installera programvara och ändra systeminställningar och att vidta åtgärder som att sniffa i nätverket som kan göra det möjligt att flytta i sidled till andra system.

Så ja, det är en fara för nätverket genom att det ger angriparen mer stabil åtkomst till en mer kapabel plattform för sidorörelse.

Fara är lite av ett starkt ord. Jag skulle säga att lokal administratörsaccess ger ytterligare nätverksrisker än icke-administratörsaccess.

Admin-åtkomst tillåter användaren att köra en paketskalare i promiskuöst läge. Att kan medföra ytterligare risker om nätverket i fråga är sårbart för MiTM-attacker, eller annan okrypterad, känslig information går över nätverket.

Du måste förstå denna risk i sammanhanget av användare som normalt har fysisk tillgång till nätverket. En skadlig insider med fysisk åtkomst till nätverkskabeln kan helt enkelt bara koppla in sin egen enhet i nätverket som de också har root / admin-åtkomst och sniffa paket på och utföra samma attacker utan root-åtkomst på sin egen maskin.

Det är mycket mer fara än vad de flesta antar. När vi diskuterade hur mycket någon kunde göra från Local Admin (lokalt konto, inte domänkonto) på en domänansluten dator sa jag "Vill du ta reda på det?" Ingen gjorde det. Visade sig att de ville diskutera teorin men inte testa den.

Jag hävdade på den andra frågan mot vad försvarar du? Tja, här är saken. Nästa gång någon annan ansluter till den aktuella maskinen kan den lokala administratören utge sig för den användaren. Om det var en nätverksdelningsåtkomst kan efterlikningen bara användas i några minuter. Men några sekunder av domänadministratör är mycket att skapa en tjänst på en nätverksdelning på domänkontrollanten.

Förr var det dumt värre. Maskinen kan MITM-attackera någon i nätverket som inte specifikt är försvarad mot arp-spoofing. Fram till nyligen var detta slutspelet, men MS kom äntligen ihop och stängde SMB mot MITM genom att fixa autentpaketet och faktiskt göra en bakåtkompatibel förändring så att den förblir fast.

Men inte tillåta utvecklarens VLAN-åtkomst till internet är dum. Det bästa kanske att göra är att låta dem ha admin på sina maskiner eller virtuella datorer men helt enkelt inte gå med dem till domänen.

Ändå kommer detta nästan aldrig upp. Hotet om att bli avskedat och åtalat hindrar utvecklarna från att gå all-out så här, och av någon anledning använder internet-bourne malware inte de här grejerna. Så igen, vad försvarar du egentligen mot? Utvecklarna kan förmodligen ta över ändå . Du måste installera versionuppdateringar för produktion förr eller senare.

Ja, det är farligt.

2014 hade jag ett fall som gick så här:

1. Utvecklare med lokala administratörsrättigheter äger äganderätt till utilman.exe , som är ett lättillgängligt program
2. Ersätt utilman.exe med cmd.exe (som också signeras av Microsoft , så att en signaturcheck inte avslöjar den)
3. Starta om datorn och klicka på tillgänglighetsikonen

Voilà, du har en konsol med NT-behörighets- / systemrättigheter. Du kan nu spionera referenser från kritiska processer som LSASS (t.ex. med Mimikatz). Om du kan lura din administratör (social engineering) för att fjärrlogga in på din dator har du hans referenser.

Om du inte kan installera bara en tjänst som körs med systemrättigheter också. Du kan sedan ångra hacket och helt enkelt låta tjänsten vänta en längre tid för att samla in referenser åt dig.

Det verkar som att inte har fixats i Windows 10.

Adminåtkomst innebär att du kan köra vissa behörighetskrävande verktyg. Paketsniffare nämns av andra. Ett annat exempel är en ARP-spoofer / förgiftare för MitM-attacker, eller en mDNS / NBT-NS-imitatör (t.ex. Responder). I allmänhet kräver alla verktyg som kräver nätverksåtkomst på låg nivå eller möjligheten att öppna vissa skyddade portar mer sannolikt administratörsåtkomst.

Att vara en lokal administratör kontra en icke-administratör innebär också att du ska kunna komma åt vissa saker på den maskinen som kan låta dig svänga till andra, t.ex. använder mimikatz för att dumpa lagrade AD-lösenord, komma åt hela registret i Windows, installera keyloggers cross-account (dvs. som en demon / tjänst) etc.

Det är ärligt natt och dag med administratörsåtkomst för att inte ; det är anledningen till att saker som OSCP fokuserar så starkt på eskalering av inlärningsrättigheter, och inte bara att få ett första fotfäste.

Svaret på din fråga är "ja". Angriparen kan mycket enkelt konvertera maskinen till en zombie och utföra skadliga uppgifter (med fullständiga administratörsrättigheter) i ditt nätverk.

En av de svåraste attackerna att mildra är "Insider Attack". I ditt fall tillåter du en angripare att utföra attacker från ditt interna nätverk med fullständiga rättigheter på en zombie (komprometterad maskin).

Tja, bara ett exempel. Anta att du har ett rimligt säkert nätverk med en brandvägg som tillåter fullständig utgående http / https-åtkomst från användardatorer, och ingen annan inkommande eller utgående åtkomst från dessa maskiner, och några andra protokoll för interna servrar (DNS, e-post, etc.)

En lokal admin kan ställa in en https-proxy från sitt skrivbord till ett externt relä och använda den för att helt kringgå brandväggsreglerna. Det kan till och med göras av bra skäl eftersom det gör det möjligt att fortsätta arbeta eller testa hemifrån. Men det förstör bara målet för företagets brandvägg ...

Det beror på vad du menar med "korrekt konfigurerat nätverk".

Om du konfigurerar ditt nätverk för att behandla varje värd på det som potentiellt onda, troligtvis äventyrade och en möjlig attackkälla, då lokal administratörsåtkomst är inte en fara (som du inte redan förväntar dig).

I den verkliga världen är alla interna nätverk och de flesta datacentret nätverk inrättade med ett antagande om viss tillit , vilket betyder att de är åtminstone mer pålitliga än utsidan / Internet.

Lokal administratör utmanar detta antagande. Observera att jag sa "utmaningar", inte "bryter".

Du måste fråga dig själv hur pålitliga dina lokala administratörer är, både i omfattningen av avsiktlig handling och på skalan av fel och misstag. Det är nu din tillit till nätverket.