将开发者的管理员权限授予自己的PC的风险

#1 楼

在我工作过的每个地方（作为合同开发人员），开发人员都可以在其台式机上获得本地管理员权限。

原因如下：

1）开发人员工具集通常非常定期地更新。图形库，代码助手，Visual Studio更新；他们最终几乎每周都要发布更新，需要安装。桌面支持通常会非常厌倦每周获得20张票以在所有开发人员机器上安装更新的软件，因此他们只是授予开发人员管理员自行执行此操作的权限。需要管理员权限才能运行。没有管理员访问权限意味着开发人员无法完成代码调试工作。管理人员不喜欢这样。

3）开发人员往往更加注重安全性，因此不太可能运行/安装危险的恶意软件。显然，它仍然会发生，但是通常可以相信所有开发人员都拥有更高级别的访问权限才能执行其工作。

#2 楼

这部分取决于开发团队期望开发的软件类型。某些类型的软件在没有管理权限的情况下比其他类型的软件更容易开发。

例如，您可以使用带有Maven工件的Eclipse之类的工具来进行大量基于Web的Java开发，所有这些软件都本地安装（并且通常在端口8080上进行了测试），而无需太多的管理员权限（您可能需要打开某些端口）。没有管理员权限，开发需要更接近硬件访问权限的工具可能会被证明是不可能的。
这就是说，即使对于Web开发，也可以从头开始重建测试机器（通常是VM）是一个好习惯。可能需要管理员权限。

如果这与信任有关（即，您的开发团队中的某些成员可能具有恶意意图），那么您还是会遇到麻烦。批准/拒绝某些权限的系统管理员不太可能能够检查他们编写的代码详细执行的操作。
这并不意味着您应该为开发团队提供不受限制的生产访问权限服务，当然也不要让他们在比他们需要的更多机器上拥有管理员权限。拥有适当的机制来减轻风险是很好的，但是您需要组织具有一定的基本信任水平。将开发团队置于单独的物理网络上是减轻信任问题和可能出现的错误的第一步。

拥有管理员访问权限的人所面临的典型风险是能够捕获网络上的数据包。根据所开发内容的性质，这可能是您必须接受的风险。诸如Wireshark之​​类的工具有时对开发很有用。即使在您的组织内部，IT或非IT人员也应尽可能使用启用了SSL / TLS的服务，这应有助于防止窃听和MITM攻击。

不给开发人员提供服务时，我可以想到一些弊端管理员访问权限（除非他们确实不需要）：


它可能会在您组织中的开发人员和系统管理员之间建立一种“他们对我们”的文化。这已经存在于许多地方，但这通常不是一件好事。每个团队都可能认为另一个团队很痛苦。安全不是纯粹的技术问题，而是人与人之间的交互问题。我认为良好的人际交流应该对整个组织的总体目标有所帮助，而不仅仅是从安全的角度来看。 （我总是发现与我需要解决的系统管理员进行面对面的交流后，而不是回过头来就可以找到更好的解决方案。） ，但不一定以正确的方式。您可能会发现，开发人员在规避组织内部施加的限制时付出了大量的努力（并且常常是成功的）。他们应该将自己的创造力用于应做的事情。
IT系统很复杂，调试是一门黑手艺。如果您需要针对库XYZ版本a.b.c_13和a.b.c_24调试产品，则开发人员可能需要能够安装和卸载每个版本，从而可能需要管理员权限。追逐依赖版本号的错误已经很烦人了。如果您必须出票并且等待（也许几小时或几天）其他人来安装/卸载正确的版本，这将成为一场噩梦：这将增加“他们对我们”的文化问题，更重要的是，它将花费还有更多的组织。您可以从风险/成本评估的角度考虑这一点。

#3 楼

风险是访问的一种日益增加的功能

有一个简单的风险计算规则，可以解释您IT团队​​同事的恐惧。您在任何操作系统上拥有的访问权限越多
，任何错误或攻击的影响就越大。例如，如果您的同事之一，例如鲍勃，通过标准的网络钓鱼攻击受到攻击，
之后，Bob帐户即可被网络犯罪分子使用，并在几分钟之内在Internet上出售。如果Bob帐户具有管理员权限，则该帐户
将被用于在Internet上大规模发送垃圾邮件，
然后以极快的速度（在几分钟之内）通过网络钓鱼攻击盗窃其他帐户）将为您的网络打开一扇后门（这可能是因为Bob帐户是管理员帐户），从而可以完全控制Bob的PC（通过ssh，VNC，VPN等工具进行远程控制）。
此攻击从内部PC从特权帐户启动
可以破坏防火墙，停止任何防病毒，反垃圾邮件保护。


罪恶在里面。 br />

即使您最好的网络管理员，系统管理员或安全管理员
，也可能会使这台损坏的PC中断数月之久（请参阅Stuxnet）。减少

如果您的开发人员同事擅长管理他们工作的操作系统，并且可以物理访问计算机，则这种
风险方面的差异为空。


任何OScan上的工程师只要对计算机具有物理访问权限，就可以授予管理员访问权限。


在任何操作系统上阻止管理员访问权限都是对于不能在管理员特权和普通用户特权之间有所区别的用户来说，有效的降低风险的方法。
这是我要向开发团队的同事提出的关键问题
并根据他们的风险意识采取行动：


“如果被授予您将如何处理
您的操作系统具有管理员权限吗？“


如果它们足够好，可以知道风险，那么它们足够好，可以得到想要的访问权限。那么就没有风险了减少拒绝该管理员访问的权限。
当心：如果您拒绝他们可以轻松获得的访问权限，则整个公司都会面临附带风险：他们会以肮脏的方式这样做，他们会行为不法，他们将无法寻求任何帮助，他们将不得不掩盖任何不幸。

#4 楼

以前的答案和评论中未提及的一些事项可能会成为以最低特权工作的开发人员的争论：


根据您所从事的行业，可能会有由于法律或法规原因，限制了员工在工作站上的特权。允许开发人员的管理访问权限可能会使组织面临违反法规的风险。开发人员可能会无意间将库升级或添加到了其他环境中不存在的本地计算机上，并且组件可能依赖于那些库的特定版本。同样，组件将在其他环境下运行的用户帐户可能不具有开发人员使用提升的特权所假定的所需数据库或其他访问权限。我在过去多次看到这种情况。有时很明显，为什么部署会失败，有时却不是，所以您必须回滚所有内容，直到找到答案。
如果开发人员安装开源工具或库并将其用于开发，则可能会出现无意的许可证限制关于如何生产软件的最终分配，尤其是在“ copyleft”条款是许可的一部分的情况下。使用开放源代码工具或库没有错，这只是故意的。您不想在交付时就发现您现在需要将所有源代码发布回社区，因为您的开发人员使用了一些开源组件，这些组件在许可中具有严格的copyleft条款，而他们在使用之前并未真正阅读过已安装。

我所看到的是让开发人员在最低特权下工作，但允许他们在指定的时间段内请求提升的特权。然后，此“ fire call”请求记录并监视了提升的特权，并在请求的时间结束时自动将其重置。

#5 楼

您向他们授予他们的工作站以及他们想要的任何其他内容的本地管理员权限。开发环境始终与主网络隔离。确保您为他们提供所需的设置是IT的工作，同时确保开发环境中的任何内容都不会损害主网络。提前计划并与管理层合作，购买完成此任务所需的设备/软件。

#6 楼

与为开发人员提供安装其计算机的能力相关的安全风险很多。这就是为什么我会反对（以系统管理员的身份发言）

1）可能违反最佳安全实践-8条安全规则之一是最低特权规则-仅允许员工访问他们所拥有的内容需要完成他们的任务。如果有人告诉我他们的开发人员需要管理员权限才能安装软件才能完成工作，那么我会回答“为什么我的一名员工不能为他们安装它？”。拥有一个集中的软件安装点可以确保IT部门准确地知道哪台计算机上安装了什么软件。

2）法律原因-也许您的一名开发人员的道德标准不高，因此决定安装盗版软件。该软件不仅可能充斥着恶意软件，而且如果您被计算机上的盗版软件所捕获，则可能会打开蠕虫进行诉讼。 IT部门被认为对这些计算机负责，因此，他们负责对它们进行审计并确保许可符合每个软件的TOS。尽管开发人员可以方便地安装自己的软件而不用打扰IT部门，但您却为IT部门创建了更多工作。

3）意外安装恶意软件-之前已经提到，但这可能是无辜的。提升用户特权以便他们可以安装恶意软件，从而通过打开通过电子邮件或下载驱动器获得的受感染PDF，使他们容易受到恶意软件的攻击。限制用户访问权限以使其无法安装软件将有助于减轻恶意软件的威胁。

4）恶意活动-与第2点类似，但是这意味着您的一名开发人员不会安装后门或故意在您的网络上造成另一种安全威胁。您会惊讶地发现，如果有IT专业人员被解雇或老板惹恼他们，他们会这样做以进行报复。

总而言之，我不得不建议这样做。人们可能会辩称，这样做可以节省时间，以防止他们总是对IT进行安装软件漏洞，但我会反驳说：“这样做所花的时间比修补由于允许用户安装自己的软件而造成的安全漏洞所花费的时间少” 。如果认为这是必要的，则应将它们真正放置在无法直接访问外界的网络上。

#7 楼

您有几个问题要回答。


这些开发人员每天需要使用哪些应用程序需要管理员特权，并且有什么方法可以设置这些应用程序，所以不是这种情况吗？ >为什么这些开发人员需要管理员特权才能执行琐碎的日常任务，并且有什么方法可以避免这种情况？
这些开发人员计算机是否已连接到互联网？

问题不应该出现是什么风险，问题应该是（您只能回答）开发人员甚至需要拥有管理员帐户的原因是什么。您可以使用“高级用户”帐户建立帐户，并让他们能够准确执行所需的工作，还可以限制他们对网络造成损害的能力。

如果这些计算机连接到Internet ....然后，由于它们在这些计算机上运行任何东西并安装任何东西的能力，将给您带来很大的风险。这些开发人员是很好的开发人员，他们不是安全专家，这只是何时将网络暴露给恶意软件的错误。

以Google为例。一位Google员工单击MSN Messenger窗口中包含的链接，下载了利用Microsoft已修复的漏洞的恶意软件，并感染了整个网络。

我应该添加Google员工单击链接与该问题无关，这是要指出的是，人们会犯一个错误，因此请限制您的曝光机。

#8 楼

一种解决方法是安装未连接到域的虚拟机。这将是一个麻烦，但是总比被政策严重削弱更好。