为什么要禁用本地帐户的网络登录？

该问题是针对@SwiftOnSecurity的Twitter线程的：https ://twitter.com/SwiftOnSecurity/status/655208224572882944

阅读完该线程后，我仍然不太明白为什么您要禁用本地帐户的网络登录。

所以这就是我的想法，请在错误之处纠正我：

假设我有一个具有DC和多个客户端的AD。客户之一是约翰。因此，早上，约翰开始工作，并使用AD凭据登录到台式机。中午，John出去开会，并“锁定”他的计算机（Windows + L）。然后，他需要使用个人笔记本电脑远程（通过RDP或其他方式）连接到办公室的PC。但是，使用这项新政策，他将无法做到。

Securitay给出的解释是密码不固定。但是，在这种情况下，攻击者将如何获得访问权限？密码不固定在哪一端？还是我心目中的情况与她想说的完全无关？如果是这样，她实际上想说什么？

— 男人
source

我不确定所描述的问题是什么，但是在您的情况下，所有使用的帐户都不是本地帐户。对？

— Martijn Heemels，2015年

不是没有代价，没有冒犯性，但是为什么不问帖子的作者呢？"Someone on the internet said something. Let me ask someone else on the internet what the first person meant."

— joeqwerty

@joeqwerty作者正在忙于表演，并不经常回复。

— tedder42

@joeqwerty她正在1989年的巡演中，因此她非常忙...

— The Man 2015年

是否真的有必要为本地帐户禁用网络登录？默认情况下，它不是由远程UAC禁用吗？

— 克里斯（Chris）2008年

Answers:

允许本地帐户的网络登录是危险的，并且是不良的安全实践。对于管理员组成员，我实际上将其描述为过失。它允许横向移动，并且由于帐户登录不是集中记录（在域控制器上），因此很难检测和审核。

为了缓解这种威胁，Microsoft实际上创建了两个新的内置安全标识符，以添加到“拒绝从网络访问此计算机”用户权限中：

S-1-5-113: NT AUTHORITY\Local account  
S-1-5-114: NT AUTHORITY\Local account and member of Administrators group

http://blogs.technet.com/b/secguide/archive/2014/09/02/blocking-remote-use-of-local-accounts.aspx

http://blogs.technet.com/b/srd/archive/2014/06/05/an-overview-of-kb2871997.aspx

— 格雷格·阿斯克（Greg Askew）
source

感谢您的回答。因此，请让我正确理解：

— The Man 2015年

假设我有一个启用RDP的DC（SERVER1）。在我的个人笔记本电脑（未连接到AD域）上，我具有相同的管理员用户名和密码。因此，当我要管理SERVER1时，我通过个人笔记本电脑通过RDP连接到它。但是，有一天，我的个人笔记本电脑被盗了，小偷可以在具有管理员权限的情况下访问我的笔记本电脑。然后，他可以从那里查看本地用户的密码哈希，并使用相同的哈希连接到服务器。那么这种情况是正确的吗？

— The Man 2015年

但是（如果这种情况是正确的），这就提出了更多的问题。如果我只是为不同的用户使用不同的密码，就不会有任何风险吗？此外，在这种情况下，启用网络登录会如何？仅仅是因为攻击者无需物理访问即可获得访问权限并对其进行配置？

— The Man 2015年

两者都可以，但是我怀疑审计师会接受使用不同的密码来对此风险进行充分的补偿控制。启用本地管理员帐户进行网络登录是一种横向移动，它会在您遭受攻击时使您的战舰沉没。本地管理员帐户应仅用于本地访问，而不能通过网络访问。

— Greg Askew

只是为了澄清一些事情。对双方都说是，您的意思是我建议的最新方案是正确的，对吗？另外，如果启用了网络登录，情况将有多严重？我问这是因为我仍然看不到启用网络登录将如何允许攻击者访问。另外，如果我禁用网络登录，那么物理访问是接口/配置服务器的唯一方法吗？

— The Man 2015年

不，您的示例方案不正确。如果他使用AD凭据登录，一切都很好。问题出在本地帐户上，即在单个计算机上创建且仅存在于本地计算机上的帐户。例如，。\ Administrator，但这适用于计算机域（COMPUTERNAME \ USERNAME）中的任何帐户。AIUI的安全风险是，如果本地帐户（例如本地管理员）在多台计算机上共享相同的密码，则有可能从计算机中提取密码哈希，并在某些情况下将哈希重复使用（作为恶意软件的侵扰）或其他攻击者）在计算机之间横向移动。

— 美茶
source

感谢您的回应。但是，您能否举一个示例示例说明如何破坏安全性？

— The Man 2015年

Contoso使用固定的本地管理员密码。Contoso不会阻止本地帐户的网络登录。用户得到某种恶意软件，该恶意软件以管理员权限运行。它提取密码哈希。如果我没记错的话，在某些情况下可以使用散列进行身份验证。或者，哈希很容易破解，或者在彩虹桌上，等等。然后，该恶意软件会连接到所有计算机并传播到它们。不仅如此，而且很难发现正在发生的事情，因为这并没有记录在DC或中央任何地方，而只是记录在单个PC上。

— Micha