Windows LAPS — dlaczego jedno wspólne hasło administratora lokalnego może zamienić włamanie na problem całej sieci
Windows LAPS — dlaczego jedno wspólne hasło administratora lokalnego może zamienić włamanie na problem całej sieci
W wielu firmach przez lata funkcjonował prosty model administracji komputerami z Windows: lokalne konto administratora, ta sama nazwa użytkownika i to samo hasło na wielu albo nawet wszystkich stacjach roboczych. Z punktu widzenia administratora było to wygodne. Z punktu widzenia bezpieczeństwa tworzyło jednak bardzo niebezpieczny efekt domina.
Jeżeli atakujący przejmie jeden komputer i zdobędzie lokalne hasło administratora, problem nie musi kończyć się na tej jednej maszynie. Jeżeli identyczne hasło obowiązuje również na kolejnych urządzeniach, zdobyte poświadczenia mogą stać się kluczem do następnych systemów.
Właśnie ten problem rozwiązuje Windows LAPS — Local Administrator Password Solution.
Jeden sekret na wielu komputerach to zły model bezpieczeństwa
Załóżmy prostą sieć firmową. Jest 100 komputerów z Windows. Na każdym istnieje konto lokalnego administratora Administrator, a administrator IT ustawił identyczne hasło na wszystkich urządzeniach.
Atakujący nie musi od razu zaatakować całej infrastruktury.
Wystarczy, że przejmie jeden komputer.
Może to nastąpić przez podatność aplikacji, phishing, złośliwy dokument, kradzież sesji użytkownika, niezałatany system albo inne źródło początkowego dostępu.
Jeżeli następnie uda mu się uzyskać lokalne uprawnienia administratora i poznać hasło, pojawia się znacznie większy problem.
To samo hasło może działać na kolejnych komputerach.
Zamiast:
jeden zaatakowany komputer
otrzymujemy potencjalnie:
jeden komputer → poświadczenia administratora → kolejne komputery → większy zakres dostępu → możliwość dalszej eskalacji.
To jeden z klasycznych mechanizmów, dzięki którym początkowo ograniczony incydent może przerodzić się w problem obejmujący większą część środowiska.
Czym właściwie jest Windows LAPS?
Windows LAPS automatycznie zarządza hasłem lokalnego konta administratora na urządzeniach Windows.
Najważniejsza zasada jest prosta:
każdy komputer może mieć własne, unikalne hasło administratora lokalnego.
Hasło jest automatycznie generowane i okresowo zmieniane zgodnie z konfiguracją organizacji.
Administrator nie musi więc ręcznie ustawiać nowego hasła na każdej stacji.
Co ważniejsze, organizacja może kontrolować sposób przechowywania i dostęp do tych poświadczeń.
W środowisku korzystającym z Microsoft Entra ID albo Active Directory można odpowiednio skonfigurować zarządzanie hasłami LAPS i ograniczyć możliwość ich odczytu do uprawnionych administratorów.
To zmienia model bezpieczeństwa.
Zamiast:
PC01 = hasło X
PC02 = hasło X
PC03 = hasło X
otrzymujemy:
PC01 = hasło A
PC02 = hasło B
PC03 = hasło C
Jeżeli więc hasło z jednego urządzenia zostanie ujawnione, nie oznacza automatycznie, że identyczne poświadczenia działają na całej flocie.
Dlaczego to ma znaczenie podczas ataku?
Wyobraźmy sobie komputer pracownika, który zostaje przejęty.
Atakujący uzyskuje możliwość wykonywania kodu w systemie i próbuje zwiększyć swoje uprawnienia.
Jeżeli lokalne konto administratora używa unikalnego hasła zarządzanego przez LAPS, przejęcie tego hasła daje znacznie bardziej ograniczoną możliwość wykorzystania go na innych komputerach.
To nie oznacza, że LAPS zatrzyma cały atak.
I właśnie tutaj warto zachować odpowiednią perspektywę.
LAPS nie jest systemem EDR. Nie wykrywa phishingu. Nie zastępuje Defendera, segmentacji sieci, MFA ani kontroli uprzywilejowanych kont.
Jego zadaniem jest ograniczenie konkretnego problemu:
recyklingu lokalnych haseł administratora.
To stosunkowo wąski mechanizm, ale dotyczący bardzo istotnego elementu infrastruktury.
Windows LAPS nie jest magiczną tarczą
Błędne byłoby traktowanie LAPS jako rozwiązania, które samo zabezpiecza stacje robocze.
Jeżeli użytkownik ma konto administratora domenowego, LAPS nie rozwiązuje tego problemu.
Jeżeli administrator może odczytać wszystkie hasła LAPS i jego konto zostanie przejęte, sytuacja również może być poważna.
Jeżeli sieć nie posiada segmentacji, atakujący może szukać innych dróg przemieszczania się.
Jeżeli systemy są niezałatane, lokalne unikalne hasła nie usuwają podatności.
Dlatego LAPS powinien być jednym z elementów większego modelu bezpieczeństwa.
Najważniejszy jest dostęp do samych haseł
Wdrożenie LAPS nie kończy się na wygenerowaniu różnych haseł.
Trzeba również odpowiedzieć na pytanie:
kto może je odczytać?
To szczególnie ważne w większych organizacjach.
Jeżeli każdy administrator helpdesku może odczytać hasła lokalnych administratorów wszystkich komputerów, potencjalna powierzchnia ryzyka nadal jest duża.
Dlatego uprawnienia powinny być ograniczone zgodnie z zasadą najmniejszych uprawnień.
Administrator powinien mieć dostęp tylko do tych poświadczeń, których rzeczywiście potrzebuje.
Warto również monitorować dostęp do informacji LAPS.
Samo posiadanie mechanizmu rotacji haseł nie wystarczy, jeżeli organizacja nie kontroluje osób i procesów, które mogą te hasła odczytać.
Rotacja haseł jest równie ważna
Drugim istotnym elementem jest automatyczna zmiana hasła.
Załóżmy, że administrator awaryjnie odczytał hasło LAPS dla konkretnego komputera i wykorzystał je do wykonania czynności administracyjnej.
Po zakończeniu operacji hasło może zostać automatycznie zmienione zgodnie z polityką organizacji.
Ogranicza to czas życia pojedynczego sekretu.
To ważna różnica względem starego modelu, w którym administrator ustawiał hasło raz i pozostawiał je na komputerach przez miesiące albo lata.
Stałe hasło jest sekretem, który z czasem ma coraz większą szansę trafić w niewłaściwe ręce.
Rotowane hasło ogranicza jego żywotność.
Co zmienia LAPS w praktyce?
Największa różnica nie polega na tym, że administrator dostaje „lepsze hasło”.
Zmienia się cały model zarządzania lokalnym kontem uprzywilejowanym.
Bez LAPS:
- administrator ustawia hasło ręcznie,
- to samo hasło może pojawić się na wielu komputerach,
- hasło może być długo niezmieniane,
- jego dystrybucja może odbywać się nieformalnymi kanałami,
- odzyskanie informacji o haśle może być problemem.
Z LAPS:
- hasło jest generowane automatycznie,
- każde urządzenie może mieć własny sekret,
- hasło jest okresowo zmieniane,
- dostęp do niego może być kontrolowany,
- administrator może odzyskać hasło wtedy, gdy jest ono rzeczywiście potrzebne.
To zdecydowanie bardziej przewidywalny model administracji.
A co ze starymi rozwiązaniami Microsoft LAPS?
Warto rozróżnić starsze rozwiązanie znane jako Microsoft LAPS od obecnego Windows LAPS wbudowanego w nowsze wersje Windows.
Nowy Windows LAPS jest częścią systemu operacyjnego i został zaprojektowany z myślą o współczesnych środowiskach zarządzanych zarówno przez Active Directory, jak i Microsoft Entra ID.
Dla organizacji oznacza to możliwość odejścia od dodatkowych mechanizmów instalowanych na stacjach i wykorzystania funkcjonalności dostępnej bezpośrednio w systemie.
Przy migracji trzeba jednak uwzględnić istniejącą konfigurację, polityki, wersje Windows oraz sposób zarządzania urządzeniami.
Czy LAPS chroni przed lateral movement?
Nie całkowicie.
Ale może utrudnić jeden z bardzo praktycznych sposobów przemieszczania się po środowisku.
Jeżeli atakujący zna lokalne hasło administratora na jednym komputerze, a identyczne hasło działa na kolejnych maszynach, zdobyte poświadczenie może mieć znacznie większą wartość.
Jeżeli natomiast każde urządzenie ma osobny sekret, ta sama informacja nie daje automatycznie dostępu do pozostałych stacji.
To nie eliminuje lateral movement.
Zmienia jednak ekonomię ataku.
Napastnik musi szukać kolejnych metod uzyskiwania dostępu zamiast po prostu wykorzystywać ten sam sekret na wielu komputerach.
Najczęstszy błąd: „mamy silne hasło”
To argument, który nadal pojawia się w wielu środowiskach:
„Mamy jedno bardzo długie i skomplikowane hasło administratora lokalnego.”
Problem polega na tym, że nawet bardzo silne hasło pozostaje jednym wspólnym sekretem.
Jeżeli zostanie ujawnione, jego siła kryptograficzna przestaje mieć większe znaczenie.
Dlatego bezpieczeństwo nie powinno sprowadzać się wyłącznie do pytania:
jak silne jest hasło?
Równie ważne jest:
gdzie jest używane, kto może je odczytać i jak długo pozostaje ważne?
LAPS odpowiada właśnie na te pytania.
Co warto sprawdzić przed wdrożeniem?
Organizacja planująca wdrożenie LAPS powinna najpierw zinwentaryzować lokalne konta administratorów.
Warto sprawdzić:
- czy lokalne konto administratora jest aktywne,
- czy na wielu komputerach używane jest identyczne hasło,
- kto zna obecne hasła,
- gdzie są one przechowywane,
- kto ma możliwość odczytu informacji administracyjnych,
- jakie wersje Windows działają na urządzeniach,
- czy urządzenia są zarządzane przez Active Directory, Microsoft Intune lub Microsoft Entra ID,
- jak będzie wyglądała rotacja haseł,
- kto będzie miał dostęp do odzyskiwania haseł,
- jak dostęp do haseł będzie audytowany.
Dopiero później warto przejść do właściwej konfiguracji.
LAPS jako element Zero Trust
LAPS dobrze pasuje do modelu, w którym zakłada się, że pojedyncze poświadczenie nie powinno automatycznie otwierać dostępu do całego środowiska.
To bardzo praktyczna zasada.
Nie chodzi o stworzenie sieci, w której atak jest niemożliwy.
Chodzi o to, aby kompromitacja jednego elementu nie powodowała automatycznej kompromitacji kolejnych.
Unikalne hasła lokalnych administratorów są jednym z prostych sposobów realizacji tej zasady.
Problem zaczyna się tam, gdzie wygoda wygrywa z izolacją
Wspólne hasło administratora lokalnego jest wygodne.
Administrator może znać jeden sekret i używać go na wielu komputerach.
Właśnie dlatego taki model bywa utrzymywany przez lata.
Bezpieczeństwo działa jednak trochę inaczej niż wygoda administracyjna.
Im więcej urządzeń korzysta z tego samego sekretu, tym większy jest potencjalny zakres konsekwencji jego ujawnienia.
Windows LAPS odwraca tę zależność.
Administrator nie musi pamiętać 200 haseł.
System może zarządzać nimi automatycznie.
I właśnie to jest najważniejsza wartość LAPS: redukuje potrzebę utrzymywania wspólnych sekretów bez przerzucania całego ciężaru administracyjnego na człowieka.
Podsumowanie
Wspólne hasło lokalnego administratora jest przykładem rozwiązania, które może wyglądać rozsądnie z perspektywy codziennej administracji, ale tworzy niepotrzebną zależność między wieloma urządzeniami.
Windows LAPS rozwiązuje konkretny problem poprzez automatyczne zarządzanie unikalnymi hasłami lokalnych administratorów i ich rotacją.
Nie zastępuje EDR, MFA, segmentacji, patch managementu ani monitoringu.
Robi jednak coś bardzo konkretnego:
utrudnia zamianę jednego skompromitowanego hasła lokalnego administratora w uniwersalny klucz do kolejnych komputerów.
W środowisku Windows to jedna z tych funkcji, których wartość zaczyna być szczególnie widoczna dopiero wtedy, gdy organizacja przestaje traktować pojedyncze konto lokalnego administratora jako drobny szczegół konfiguracji.
🔒 Szyfrowanie Dysków i Danych w Windows Server: Kompletny przewodnik Bezpieczeństwo danych to dziś kluczowy priorytet dla organizacji każdej wielkości. Czytaj dalej
Integracja funkcji gamingowych w Windows 12 – Co nowego w grach na Windows 12? Windows 12, najnowsza wersja systemu operacyjnego Czytaj dalej
