Lokale beheerrechten intrekken: minder storingen en minder risico

De vervelendste melding in een supportwachtrij is zelden een kapotte harde schijf. Het is de laptop die besmet raakte nadat iemand een programma installeerde dat er niet op hoorde. Of de instelling die is aangepast, waarna niemand meer kan achterhalen wat er precies veranderd is.

In allebei de gevallen is de oorzaak dezelfde: de gebruiker had lokale beheerrechten. Oftewel het recht om software te installeren, systeeminstellingen te wijzigen en beveiligingsmaatregelen te omzeilen op zijn eigen werkplek.

Die rechten worden in het mkb nog vaak standaard uitgedeeld, meestal met het argument dat het sneller werkt. Op korte termijn klopt dat. Op de lange termijn levert het precies het tegenovergestelde op: werkplekken die uit elkaar gaan lopen, besmettingen die zich verder verspreiden dan nodig, en herstelwerk dat niemand had ingepland.

Dit artikel gaat specifiek over die lokale beheerrechten op laptops en pc’s. Over rechten op mappen, rolgroepen en het opdelen van je netwerk schreven we apart in zero trust en least privilege voor het mkb. De twee vullen elkaar aan, maar de maatregel hier is concreter en meestal in een paar dagen te regelen.

Wat een standaardaccount wel en niet tegenhoudt

Een standaardgebruikersaccount beperkt drie dingen: wat er geïnstalleerd kan worden, welke systeeminstellingen aangepast mogen worden, en welke processen met verhoogde rechten mogen draaien.

Dat klinkt als een beperking voor de gebruiker, maar het is vooral een grens voor alles wat op dat apparaat gebeurt — inclusief de dingen die de gebruiker niet zelf start. Software die met de rechten van een gewone gebruiker draait, kan de virusscanner niet uitzetten, geen systeembestanden aanpassen en zich niet nestelen op een plek waar hij een herstart overleeft.

Wat een standaardaccount niet doet: phishing tegenhouden. Iemand kan nog steeds op een link klikken en gegevens invoeren op een nagemaakte pagina. Het verschil zit in wat er dáárna kan gebeuren op het apparaat zelf.

Waarom dit meer uitmaakt dan het lijkt

Een groot deel van de ernstige kwetsbaarheden in Windows is alleen volledig te misbruiken als het account waaronder de code draait verhoogde rechten heeft. Zonder die rechten wordt de aanval niet onmogelijk, maar wel een stuk minder waard.

Het verschil in de praktijk: een aanvaller die een standaardaccount overneemt, krijgt de gegevens en de sessie van die gebruiker. Een aanvaller die een account met beheerrechten overneemt, krijgt de hele machine — en heeft daarmee een veel betere uitgangspositie om verder te komen in het netwerk.

Datzelfde geldt voor ransomware. Veel varianten hebben verhoogde rechten nodig om beveiligingssoftware uit te schakelen, schaduwkopieën te verwijderen en zich breed te verspreiden. Zonder die rechten blijft de schade vaker beperkt tot de bestanden waar die ene gebruiker bij kon. Dat scheelt in herstelwerk het verschil tussen een middag en een week; zie ook ransomware: zo beperk je de schade.

Drie soorten meldingen die grotendeels verdwijnen

Besmettingen en het opruimen daarna

Een besmetting op een standaardaccount blijft meestal beperkt tot het profiel van die gebruiker. Op een account met beheerrechten kan dezelfde besmetting netwerkschijven raken en een volledige herinstallatie nodig maken.

Het verschil is niet theoretisch. Het is het verschil tussen één melding van een halfuur en een dag met meerdere mensen die niet kunnen werken. Wat een scanner overigens niet altijd ziet, staat in malware die je virusscanner niet ziet.

Zelf gerepareerde problemen die stuk gingen

Wie beheerrechten heeft, probeert een storing soms zelf op te lossen. Een programma verwijderen, een netwerkinstelling aanpassen, een stuurprogramma vervangen. Gaat dat mis, dan komt het bij de beheerder terecht zonder dat iemand weet wat er is veranderd. Dat maakt het zoeken lang.

Met een standaardaccount is die categorie er simpelweg niet meer, omdat de wijziging niet zonder aanvraag gedaan kan worden.

Werkplekken die uit elkaar gaan lopen

Apparaten waarop mensen zelf installeren, wijken op termijn af van de standaardinrichting. Software die buiten het beheer om is geïnstalleerd, krijgt geen updates via de normale route en blijft dus achter (zie kwetsbaarheden en patchmanagement). Browserextensies zijn hierin een categorie apart, zoals we beschreven in de gevaren van browserextensies.

Elke afwijking maakt de volgende storing net wat lastiger te verklaren. Dat is precies het soort sluipende rommel dat we in technische schuld aanpakken beschreven.

“Maar ik moet dingen kunnen installeren”

Dat bezwaar is terecht, en het is ook het punt waarop dit soort trajecten meestal stukloopt. Er zijn nu eenmaal mensen die af en toe iets nodig hebben: een tekenprogramma met een plug-in, een stuurprogramma voor een meetapparaat, een update van een branchepakket.

Het antwoord daarop is niet om de beheerrechten dan maar te laten staan. Het is tijdelijke verhoging: iemand vraagt rechten aan voor een specifieke taak, die aanvraag wordt goedgekeurd door een regel of door de beheerder, en de rechten vervallen automatisch als de taak klaar is of de tijd om is.

Dat levert twee dingen op. De gebruiker kan door met zijn werk, en elke verhoging is vastgelegd. Na een paar weken zie je bovendien waar het echt om gaat: vaak blijkt het te draaien om drie of vier terugkerende taken die je gewoon in het beheerde pakket kunt opnemen. De rest werd alleen gedaan omdat het kon.

Zo voer je het in zonder gedoe

1. Kijk eerst wie het nu heeft. Vaak is dat “iedereen”, zonder dat iemand daar ooit bewust voor gekozen heeft. Maak de lijst zichtbaar voor je iets verandert.
2. Regel eerst de uitweg, dan pas de beperking. Zorg dat de aanvraagroute voor tijdelijke rechten werkt vóórdat je de rechten intrekt. Andersom levert een dag met boze telefoontjes op.
3. Zet klaar wat mensen echt gebruiken. Als de standaardsoftware al geïnstalleerd is en updates vanzelf komen, is de behoefte aan zelf installeren meteen een stuk kleiner.
4. Begin bij een kleine groep. Neem één team van vijf tot tien mensen, draai twee weken mee en verzamel wat er misgaat. Daarna pas de rest.
5. Haal beheerrechten uit dagelijkse accounts. Ook bij de directie en bij de beheerder zelf: een apart beheeraccount voor beheerwerk, een gewoon account voor mail en documenten.
6. Vertel wat er verandert en waarom. Eén korte mail met de reden en de aanvraagroute voorkomt de meeste weerstand. Neem het daarna op in je IT-beleid.

Een voorbeeld uit de praktijk

Een adviesbureau met 24 medewerkers had beheerrechten op alle laptops, omdat dat bij de oprichting nu eenmaal zo was ingericht. In een halfjaar tijd leverde dat zeven meldingen op die te herleiden waren naar zelf geïnstalleerde software: twee besmettingen, drie keer een pakket dat niet meer opstartte na een conflict, en twee keer een uitgeschakelde beveiligingsfunctie omdat “de laptop traag was”.

Bij het intrekken van de rechten kwamen er in de eerste maand elf aanvragen voor tijdelijke verhoging binnen. Negen daarvan gingen over twee toepassingen, die daarna in het standaardpakket zijn opgenomen. In het halfjaar erna kwamen er nog twee aanvragen. Meldingen uit deze categorie: geen.

Veelgestelde vragen

Merken medewerkers het als hun beheerrechten weg zijn?

De meesten niet, omdat dagelijkse taken — mail, documenten, browser, printen, netwerkschijven — geen verhoogde rechten nodig hebben. Wie het wél merkt, deed doorgaans iets dat sowieso via het beheer had moeten lopen. Een korte aankondiging met uitleg over de aanvraagroute vangt de meeste vragen op voordat het klachten worden.

Wat is tijdelijke rechtenverhoging precies?

Een gebruiker vraagt via een tool of formulier verhoogde rechten aan voor een specifieke taak. Een beleidsregel of de beheerder keurt goed, en het venster sluit automatisch na afronding of na een ingestelde tijd. Je houdt dus dezelfde flexibiliteit, maar zonder permanente blootstelling — en met een logboek van wat er is gedaan.

Werkt dit ook op apparaten van medewerkers zelf?

Op een privé-apparaat ga je niet over de beheerrechten. Daar los je het anders op: toegang tot bedrijfsgegevens koppelen aan de staat van het apparaat, of het werk in een afgeschermde omgeving houden. Dat is het onderwerp van BYOD soepel en veilig regelen en de werklaptop thuis.

Is dit hetzelfde als het principe van minimale rechten?

Het is de meest concrete toepassing ervan op de werkplek. Minimale rechten betekent dat iemand precies de toegang heeft die hij nodig heeft om zijn werk te doen, niet meer. Voor mappen, systemen en netwerktoegang werkt datzelfde principe door; dat behandelen we in zero trust en least privilege voor het mkb. Voor de beveiliging van de apparaten zelf is endpointbeveiliging de aanvulling.

Hoe beperk je lokale beheerdersrechten zonder dat het werk stilvalt?

Zet gebruikers standaard op een gewoon account en geef alleen daar volledige admin-rechten waar dat aantoonbaar nodig is. Voor de uitzonderingen bestaan tools voor endpoint privilege management: die geven per handeling tijdelijk verhoogde rechten, bijvoorbeeld om software te installeren of te verwijderen, zonder dat het account permanent lokale beheerdersrechten houdt. Zo houd je controle, en een aanvaller die een werkplek binnenkomt kan geen malware installeren die zich over andere systemen verspreidt.

Waarom heten lokale beheerrechten ook wel local admin rights?

Dat is de Engelse term die je in beheersoftware en documentatie tegenkomt: een local admin account heeft volledige controle over dat ene apparaat. Het uitgangspunt erachter heet the principle of least privilege – geef gebruikers alleen toegang tot wat ze voor hun werk nodig hebben. Wie de admin accounts op werkplekken terugbrengt, verkleint meteen de kans dat aanvallers via een besmette laptop verder komen.

Benieuwd hoeveel van jullie meldingen te herleiden zijn naar beheerrechten op de werkplek? We kijken er graag naar en zetten desgewenst een aanvraagroute op waar je team gewoon mee door kan werken. Bel 030-7115791 of mail info@okayict.nl.