O risco aumenta quando elevado os direitos de usuário padrão para administrativo em seus computadores. Quando um usuário padrão ou administrador loga com direitos administrativos, qualquer programa que é executado com direitos administrativo. Se estes programas executarem software de código malicioso, pode-se instalar, manipular serviços como antivírus e outros. Os usuários com direitos administrativos podem executar o software com código malicioso involuntariamente e inconscientemente, por exemplo, visitar um web site comprometido ou por clicar no link no corpo da mensagem eletrônica.
Assegurar que todos os usuários executem e operem com direto padrão é o primeiro passo para ajudar a mitigar o impacto contra software com código malicioso. Usuário padrão é uma conta que tem menos direitos e privilégios requeridos para executarem as tarefas básicas.
Princípio do Menor Privilégio
O princípio de ter um menor privilégio requer que cada tarefa no sistema seja executada com menor privilegio para as tarefas autorizadas. A aplicação com esse princípio diminui o risco onde possa resultar em um incidente de segurança, ou acesso não autorizado.
Princípio do menor privilégio para contas de usuário
LUA “Least-Privilege User Account“ assegura os usuários que segue o princípio de ter menor privilégio sempre que logar com contas limitadas. LUA ajuda a mitigar os riscos dos softwares com código malicioso e configuração incorreta acidentalmente.
Em outras versões do Windows como XP, a implementação de LUA envolveu aplicar as seguintes regras:
- Usuários comuns devem sempre logar com contas limitadas.
- Os administradores só devem usar contas administrativas para executar tarefas administrativas.
As desvantagens de excutar com uma conta não administrativa
No Windows XP e em outras versões, muitas tarefas como alteração no fuso horário ou instalar uma nova impressora, exigia que o usuário possuem-se privilégios administrativos como muitas aplicações exigia usuário administrador.
O Windows XP e em outras versões, o único meio de elevar um usuário padrão para administrador era com logoff e logar com uma conta com maior privilegio, ou usar o Run As. Mas o resultado é que muitos usuários continuam com direitos administrativos.
Privilégio do usuário no Windows Vista
No Windows Vista, foram adicionados mais privilégios na conta de usuário padrão para que consiga executar algumas tarefas básicas sem a necessidade de direitos administrativos como:
- Ver o relógio e calendário;
- Alterar o fuso horário;
- Instalar Wired Equivalent Privacy (WEP) para conectar em redes seguras;
- Alterar as configurações do gerenciamento de energia
- Instalar impressoras e outros dispositivos’’
- Instalar controles ActiveX;
- Criar e configurar conexão virtual private network (VPN);
- Instalar patchs críticos do Windows Update.
No Windows Vista, aplicar o princípio de menor-privilégio para drivers que rodam no modo kernel em modo mais-restritivo, ajuda melhorar a estabilidade do sistema, porque um crash no kernel pode resultar uma parada no sistema, mas pode-se recuperar no modo usuário.
Tire suas dúvidas no site abaixo. Muitos profissionais qualificados tentarão lhe ajudar da melhor forma possível:
http://forums.microsoft.com/technet-br/default.aspx?siteid=29
Neste artigo, expliquei o princípio do menor privilégio no Windows Vista. Em caso de dúvidas sobre o conteúdo deste artigo, ou para enviar sugestões sobre novos tutoriais que você gostaria de ver publicado neste site, entre en contato através do e-mail: fabiano@winsec.org ou vitor@winsec.org
_______________________________________________________________________________________
Vitor Nakano atua a 10 anos na área de infra-estrutura e segurança voltada à plataforma Microsoft e mentor do site www.winsec.org.
Atualmente é o coordenador do Setor de Segurança da Informação e Arquitetura do Grupo EcoRodovias, responsável pela implantação de importantes projetos de infra-estrutura e segurança e possui certificações Microsoft deste 2002. Em 2008 foi nomeado MVP na categoria Windows Security.
Você pode entrar em contato através do e-mail vitor@winsec.org