Destek Teknisyenleri için LAPS mi, Domain Admin Hesabı mı?

Uzaktan destek teknisyenlerine yetki vermenin en güvenli yolu nedir? Birçok kuruluş bu sorunla boğuşuyor. Klasik yaklaşım: tüm iş istasyonlarında admin grubu içinde kalıcı bir domain hesabı. Ama bu riskli, eğer bir teknisyenin kimliği çalınırsa, saldırgan tüm ağa erişim kazanıyor.

Buraya LAPS (Local Administrator Password Solution) devreye giriyor. Fikir basit: her bilgisayarın yerel admin şifresi otomatik olarak döndürülüyor ve Active Directory'de saklanıyor. Uzaktan destek yazılımı bu şifreyi çekerek oturumda kullanabiliyor. Teknisyenlerin kendileri admin hesabını bilmiyor.

Peki bu gerçekten daha iyi mi? Kısmen evet, kısmen hayır. Eğer bir teknisyenin normal hesabı ele geçirilirse, saldırgan artık tüm iş istasyonlarında admin değil. Ama LAPS şifrelerine erişim elde ederse? Sonuç aynı, tüm makinelere giriş. Fark, LAPS erişiminin daha dar bir grup tarafından kontrol edilebilmesi ve şifrelerin sık döndürülmesi.

Asıl güvenlik kazancı burada: teknisyenlerin günlük hesapları normal yetkilere sahip kalıyor, yönetim işlemleri için LAPS kullanıyor. Bu, yanlışlıkla veya kötü niyetle yapılan zarar riskini azaltıyor. Ayrıca her LAPS kullanımı kayıtlanıp denetlenebiliyor., LAPS + sınırlı hesap kombinasyonu, kalıcı admin hesaplarından daha güvenli bir mimari. Ancak LAPS erişim kontrolünü sıkı tutmak ve ağ segmentasyonu eklemek gerekiyor. Tek başına LAPS değil, katmanlı bir strateji işe yarıyor.