Systeembeheerder is kwetsbaar

Internetcriminaliteit is een serieuze bedreiging voor organisaties. Vooral ‘hacking’ is een groeiend risico. Een belangrijk doelwit van hackers is het ‘domain administrator account’. Dit wordt vaak beheerd door de systeembeheerder. Hiermee heeft hij of zij toegang tot alle systemen en applicaties. Zodra internetcriminelen controle hebben over dit account kunnen ze overal bij en kunnen ze grote schade aanrichten. Wat is hiertegen te doen?

Wouter BaaijMeer van deze auteur

Harmen JansenMeer van deze auteur

Een logische oplossing is om de rechten van de systeembeheerder te beperken. In veel organisaties bestaat de opvatting dat dit niet mogelijk is. De systeembeheerder moet immers overal bij kunnen om te kunnen werken. De kern van de oplossing ligt in de toepassing van het principe van ‘least privilege’. Dit is het minimaliseren van de rechten per rol en het delegeren van rechten, in dit geval dus de rol en rechten van de systeembeheerder. Hoe moet dat worden gedaan? Vier suggesties.

1. Beperk rechten

Beperk de rechten van het domain administrator account tot een minimum. Veel dagelijkse werkzaamheden kunnen worden uitgevoerd door lagere accounts met minder bevoegdheden. Denk hierbij aan het toekennen van rechten, het aanpassen van wachtwoorden en het aanmaken of verwijderen van user-accounts.

2. Change request

Soms moeten de rechten van de domain administrator toch worden gebruikt. Bijvoorbeeld voor wijzigingen in de hoofdstructuur van de ICT-omgeving. Zorg dat zulke wijzigingen alleen kunnen worden gedaan op basis van een ‘change request’, dat eerst moet worden goedgekeurd door het ‘Change Advisory Board’.

3. Systeemlandschap

Om beheerwerkzaamheden goed te kunnen uitvoeren, dient de systeembeheerder toegang te krijgen tot de onderliggende servers, de zogenaamde memberservers. Maar op welke servers dient de systeembeheerder toegang te krijgen? Een handig hulpmiddel kan een systeemlandschap zijn. Beperk het aantal beheerclusters en voorkom dat de systeembeheerder lid wordt van te veel beheerclusters.

4. Local administrator group

Kijken we nog een laag dieper, dan is de domain administrator ook lid van de local administrator group van elke server, desktop en tablet. Aangezien het bereik dan alsnog onnodig groot is, is dit niet wenselijk. Om te voorkomen dat de systeembeheerder direct bij alle servers kan, dient hij alleen local administrator te zijn op de servers die onder zijn beheer vallen.

Schade beperkt

Het principe van least privilege biedt een oplossing zonder in te boeten op gemak. Door dit toe te passen op alle lagen in de organisatie kan functiescheiding worden doorgevoerd. Interne beheersing is beter geborgd en de hacking-risico’s zijn op deze manier beperkt. Hoewel een goede hacker vaak toch wel binnenkomt, is de schade op deze manier zeker te beperken.