Как предоставить или получить повышенные привилегии в Windows 10/8/7

Вы, должно быть, заметили, что на вашем компьютере часто устанавливается много программ, для запуска которых требуются права администратора. Наличие прав администратора позволяет вносить изменения в систему, которые могут повлиять на всех других пользователей. Другими словами, любая программа, которую вы решили запустить от имени администратора, предоставляет ей больший доступ к компьютеру при запуске.

Контроль учетных записей уведомляет вас перед внесением изменений – не всех изменений, а только тех, которые требуют уровня администратора или повышенных разрешений. Всякий раз, когда вы запускаете некоторые программы, вы можете сначала увидеть подсказку UAC. Программа запустится только после вашего согласия. Это функция безопасности в Windows. Ключ заключается в понимании того, что можно сделать и как можно добиться изменения прав администратора или повышения привилегий без ущерба для безопасности.

Давайте рассмотрим различные варианты и сценарии.

Откройте окно командной строки с повышенными правами

Хотя вы можете выполнять много задач с использованием CMD, для некоторых задач требовались повышенные привилегии. Windows 8.1 позволяет легко открывать Командную строку (Admin) с помощью меню WinX. Этот пост показывает, как вы можете запустить командную строку от имени администратора.

Читать . Как создать ярлык с повышенными привилегиями для запуска Программы.

Сделать программу всегда Запускать от имени администратора

Если вы хотите, чтобы программа всегда выполнялась с правами администратора, щелкните правой кнопкой мыши исполняемый файл программы и выберите Свойства. Здесь выберите «Запустить эту программу от имени администратора». Нажмите Применить> ОК. Этот пост подробно покажет вам, как сделать так, чтобы приложения всегда запускались от имени администратора.

Отключите режим одобрения администратором с помощью Secpol

Запустите secpol.msc , чтобы открыть локальную политику безопасности и перейти к «Локальные политики»> «Параметры безопасности». На правой панели вы увидите параметр Контроль учетных записей: включить режим одобрения администратором . Дважды щелкните по нему и выберите Отключено .

Этот параметр политики управляет поведением всех параметров политики контроля учетных записей (UAC) для компьютера. Если вы измените этот параметр политики, вы должны перезагрузить компьютер. Доступны следующие варианты: (1) Включено . (По умолчанию) Режим одобрения администратором включен. Эта политика должна быть включена, и соответствующие параметры политики UAC также должны быть установлены соответствующим образом, чтобы позволить встроенной учетной записи администратора и всем другим пользователям, являющимся членами группы администраторов, работать в режиме одобрения администратором. (2) Отключено . Режим одобрения администратором и все параметры политики UAC отключены. Если этот параметр политики отключен, Центр безопасности уведомляет вас о снижении общей безопасности операционной системы.

Имейте в виду, это снизит общую безопасность вашего компьютера!

Предоставление повышенных привилегий в Windows 10/8/7

Стандартный пользователь не имеет каких-либо специальных разрешений для внесения изменений в администрирование сервера. Он может не иметь следующих привилегий: добавление, удаление, изменение пользователя, выключение сервера, создание и администрирование объекта групповой политики, изменение прав доступа к файлам и т. Д.

Но пользователь с правами администратора может сделать гораздо больше, чем обычный пользователь. Права, однако, предоставляются после того, как ему предоставлены повышенные привилегии для каждого уровня в одной из групп, а именно: Локальный сервер, Домен и Лес.

Когда пользователь добавляется в одну из групп, он получает больше возможностей, чем обычный пользователь. Они получают дополнительные права пользователя. Это права или конфигурации, которые управляют «кто» может делать «что» с компьютером. При настройке каждый компьютер может поддерживать уникальный набор администраторов, контролирующих различные области этого компьютера.

Существует более 35 прав пользователя на компьютер. Некоторые из наиболее распространенных прав пользователя, которые управляют повышенными привилегиями на компьютере, перечислены ниже:

• Выключить систему
• Принудительное отключение удаленной системы
• Войти как пакетное задание
• Войти как сервис
• Резервное копирование и восстановление файлов и каталогов
• Включить доверенный для делегирования
• Генерация аудита безопасности
• Загрузка и выгрузка драйверов устройств
• Управление аудитом и журналом безопасности
• Взять на себя ответственность за файлы и другие объекты

Права пользователя развертываются с помощью групповой политики (локальный/Active Directory). Это прокладывает путь для последовательного контроля доступа к серверам.

Кроме того, каждый файл, папка и раздел реестра имеют список контроля доступа (ACL). Список предоставляет стандартные разрешения, такие как

Эти стандартные разрешения позволяют упростить настройку объектов.Короче говоря, ACL – это своего рода список пользователей, групп и/или компьютеров, которым предоставлены разрешения для объекта, связанного с ACL. Вы можете прочитать полную информацию об этом, делегировании Active Directory, делегировании групповой политики и многом другом, в этом отличном посте на WindowsSecurity.com. В нем обсуждается, как предоставить повышенные привилегии для Active Directory и сервера.

Эти инструкции также могут вас заинтересовать.

1. Взять на себя ответственность и полный контроль над ключами реестра
2. Полное владение файлами и папками.

Контроль учетных записей пользователей: поведение запроса на повышение прав для обычных пользователей User Account Control: Behavior of the elevation prompt for standard users

Область применения Applies to

В этой статье описываются лучшие методики, расположение, значения, управление политиками и вопросы безопасности для контроля учетных записей пользователей: поведение запроса на повышение прав для стандартного параметра политики безопасности пользователей. Describes the best practices, location, values, policy management and security considerations for the User Account Control: Behavior of the elevation prompt for standard users security policy setting.

Справочные материалы Reference

Этот параметр политики определяет поведение запроса на повышение прав для обычных пользователей. This policy setting determines the behavior of the elevation prompt for standard users.

Возможные значения Possible values

Автоматически отключать запросы на повышение прав Automatically deny elevation requests

Этот параметр возвращает сообщение об ошибке «Отказано в доступе» стандартным пользователям при попытке выполнить операцию, требуемую повышения привилегий. This option returns an “Access denied” error message to standard users when they try to perform an operation that requires elevation of privilege. Большинство организаций, запускающих настольные компьютеры в качестве обычных пользователей, настраивают эту политику, чтобы уменьшить количество вызовов службы поддержки. Most organizations that run desktops as standard users configure this policy to reduce Help Desk calls.

Запрос учетных данных на безопасном рабочем столе Prompt for credentials on the secure desktop

Это значение по умолчанию. This is the default. Если для операции требуется повышение привилегий, пользователю на защищенном рабочем столе будет предложено ввести другое имя пользователя и пароль. When an operation requires elevation of privilege, the user is prompted on the secure desktop to enter a different user name and password. Если пользователь вводит действительные учетные данные, операция продолжается с применимыми привилегиями. If the user enters valid credentials, the operation continues with the applicable privilege.

Запрос учетных данных Prompt for credentials

Операция, требуемая повышения привилегий, требует у пользователя ввести административное имя пользователя и пароль. An operation that requires elevation of privilege prompts the user to type an administrative user name and password. Если пользователь вводит действительные учетные данные, операция продолжается с применимыми привилегиями. If the user enters valid credentials, the operation continues with the applicable privilege.

Рекомендации Best practices

1. Настройка контроля учетных записей пользователей: поведение запроса на повышение прав для обычных пользователей, чтобы они автоматически отключили запросы на повышение прав. Configure the User Account Control: Behavior of the elevation prompt for standard users to Automatically deny elevation requests. Этот параметр требует, чтобы пользователь входить с помощью учетной записи администратора для запуска программ, которые требуют повышения привилегий. This setting requires the user to log on with an administrative account to run programs that require elevation of privilege.
2. В целях обеспечения безопасности стандартные пользователи не должны иметь знаний об административных паролях. As a security best practice, standard users should not have knowledge of administrative passwords. Однако если у пользователей есть как учетные записи уровня администратора, так и стандартные учетные записи, установите запрос учетных данных, чтобы пользователи не выбирали всегда вход с помощью учетных записей администраторов, и они меняют свое поведение, чтобы использовать стандартную учетную запись пользователя. **** However, if your users have both standard and administrator-level accounts, set Prompt for credentials so that the users do not choose to always log on with their administrator accounts, and they shift their behavior to use the standard user account.

Расположение Location

Конфигурация компьютера\Параметры Windows\Параметры безопасности\Локальные политики\Параметры безопасности Computer Configuration\Windows Settings\Security Settings\Local Policies\Security Options

Значения по умолчанию Default values

В следующей таблице перечислены фактические и эффективные значения по умолчанию для этой политики. The following table lists the actual and effective default values for this policy. Значения по умолчанию также можно найти на странице свойств политики. Default values are also listed on the policy’s property page.

Тип сервера или объект групповой политики Server type or GPO	Значение по умолчанию Default value
Default Domain Policy Default Domain Policy	Не определено Not defined
Политика контроллера домена по умолчанию Default Domain Controller Policy	Не определено Not defined
Параметры по умолчанию для автономного сервера Stand-Alone Server Default Settings	Запрос учетных данных на безопасном рабочем столе Prompt for credentials on the secure desktop
Эффективные параметры по умолчанию для DC DC Effective Default Settings	Запрос учетных данных на безопасном рабочем столе Prompt for credentials on the secure desktop
Действующие параметры по умолчанию для рядового сервера Member Server Effective Default Settings	Запрос учетных данных на безопасном рабочем столе Prompt for credentials on the secure desktop
Действующие параметры по умолчанию для клиентского компьютера Client Computer Effective Default Settings	Запрос учетных данных на безопасном рабочем столе Prompt for credentials on the secure desktop

Управление политикой Policy management

В этом разделе описываются функции и средства, которые помогут вам управлять этой политикой. This section describes features and tools that are available to help you manage this policy.

Необходимость перезапуска Restart requirement

Нет. None. Изменения этой политики становятся эффективными без перезапуска компьютера, если они сохраняются локально или распространяются с помощью групповой политики. Changes to this policy become effective without a computer restart when they are saved locally or distributed through Group Policy.

Групповая политика Group Policy

Все возможности аудита интегрированы в групповую политику. All auditing capabilities are integrated in Group Policy. Эти параметры можно настроить, развернуть и управлять ими в консоли управления групповыми политиками (GPMC) или в оснастке «Локализованная политика безопасности» для домена, сайта или подразделения. You can configure, deploy, and manage these settings in the Group Policy Management Console (GPMC) or Local Security Policy snap-in for a domain, site, or organizational unit (OU).

Вопросы безопасности Security considerations

В этом разделе описывается, каким образом злоумышленник может использовать компонент или его конфигурацию, как реализовать меры противодействия, а также рассматриваются возможные отрицательные последствия их реализации. This section describes how an attacker might exploit a feature or its configuration, how to implement the countermeasure, and the possible negative consequences of countermeasure implementation.

Уязвимость Vulnerability

Один из рисков, которые функция UAC пытается устранить, — вредоносные программы, запущенные с повышенными учетными данными, без того, чтобы пользователь или администратор не знали об их действиях. One of the risks that the UAC feature tries to mitigate is that of malicious programs running under elevated credentials without the user or administrator being aware of their activity. Этот параметр повышает осведомленность пользователя о том, что программа требует использования операций с повышенными привилегиями, и требует, чтобы пользователь вилил учетные данные администратора для запуска программы. This setting raises awareness to the user that a program requires the use of elevated privilege operations, and it requires that the user supply administrative credentials for the program to run.

Противодействие Countermeasure

Настройка контроля учетных записей пользователей: поведение запроса на повышение прав для обычных пользователей, чтобы они автоматически отключили запросы на повышение прав. Configure the User Account Control: Behavior of the elevation prompt for standard users to Automatically deny elevation requests. Этот параметр требует, чтобы пользователь входить с помощью учетной записи администратора для запуска программ, которые требуют повышения привилегий. This setting requires the user to log on with an administrative account to run programs that require elevation of privilege. В целях обеспечения безопасности стандартные пользователи не должны иметь знаний об административных паролях. As a security best practice, standard users should not have knowledge of administrative passwords. Однако если у пользователей есть учетные записи как **** на уровне администратора, так и на уровне администратора, рекомендуется установить запрос учетных данных таким образом, чтобы пользователи не могли всегда входить в систему с помощью учетных записей администраторов, и они меняли свое поведение, чтобы использовать стандартную учетную запись пользователя. However, if your users have both standard and administrator-level accounts, we recommend setting Prompt for credentials so that the users do not choose to always log on with their administrator accounts, and they shift their behavior to use the standard user account.

Возможное влияние Potential impact

Пользователи должны предоставить административные пароли для запуска программ с повышенными привилегиями. Users must provide administrative passwords to run programs with elevated privileges. Это может привести к повышению нагрузки на ИТ-персонал при выявлении затронутых программ и внесении изменений в стандартные операционные процедуры для поддержки операций с наименьшими привилегиями. This could cause an increased load on IT staff while the programs that are affected are identified and standard operating procedures are modified to support least privilege operations.