Moeten beheerders aparte accounts gebruiken voor beheerwerk?

Ja. Een beheerder die met een beheeraccount e-mail leest en op het web surft, stelt de sleutels tot alles bloot aan elk phishingbericht en elke kwaadaardige website. Met een apart beheeraccount, alleen gebruikt voor beheertaken en nooit voor e-mail of surfen, levert een gecompromitteerd dagelijks account de aanvaller veel minder op. Ga verder waar het kan: eis phishingbestendige MFA op beheeraccounts, gebruik ze alleen vanaf een eigen beheerwerkplek of een bastionhost, geef elk beheeraccount alleen rechten op de systemen die het beheert, en schakel beheeraccounts uit die al maanden niet zijn gebruikt. Dit geldt ook voor de medewerkers van uw IT-leverancier. Het is identiteitshygiëne die een netwerktool niet kan afdwingen. Het maakt monitoring wel scherper: als beheersessies alleen vanaf één werkplek of bastionhost worden verwacht, markeert NetSenX beheerprotocollen vanaf andere hosts als laterale beweging, op elk abonnement.

← Alle 45 vragen over Zero trust, identiteit en segmentatieAlle onderwerpen