Последствия использования машины \ ASPNET как роль администратора?

Question

Мы получаем приложение от третьего лица, которое в конечном итоге будет установлено в нашей производственной среде.

Как часть настройки, они хотят, чтобы мы сделали Machine \ ASPNET учетной записью администратора.

Это кажется мне плохой практикой, но мне нужны конкретные причины, если я собираюсь вернуться к этому.

Каковы последствия запуска машины \ ASPNET в качестве администратора?

Дополнительная информация:

• Это будет развернуто под IIS6 на Windows Server 2003
• Это приложение, три уровня. Я считаю, что они хотят, чтобы пользователь Machine \ ASPNET был администратором среднего уровня, где будут развернуты службы WCF.

Answer 1

Как вы уже догадались, сделать учетную запись ASPNET членом группы «Администраторы» - действительно очень плохая идея.

Это связано с тем, что успешный эксплойт против вашего стороннего приложения (или против любого другого веб-приложения, работающего как ASPNET) получит административный доступ к машине. Это основная причина, по которой учетные записи веб-приложений обычно имеют низкую привилегию.

Вместо предоставления прав администратора ASPNET вы можете запросить у третьей стороны, какие конкретные права они требуют. Затем вы можете предоставить ASPNET именно эти права. Это ограничило бы успех успешного успеха.

Например, если приложению требуется доступ для чтения/записи в реестр под HKLM, вы можете предоставить ему доступ к ASPNET. Таким образом, эксплойт может блокировать реестр, но не файловую систему.

Answer 2

Я бы согласился, что это очень плохая идея, если по какой-то причине на сайте произошел сбой безопасности, злоумышленник может в значительной степени делать то, что хочет с сервером.

Вам нужно выяснить, почему пользователь должен быть администратором, получить точно список действий, которые пользователь должен выполнить, и просто дать разрешение на эти задачи. Если они не могут дать вам правильный список, то просто отклоните его, это показывает, что они не очень хорошо знают свое приложение и это должно быть достаточно беспокоиться.

Answer 3

Если продавец дает этот совет, вы, как правило, обнаружите, что они правильно выполнили работу в «слишком жесткой корзине». Скорее всего, они устраняют проблемы с разрешениями и просто рекомендуют предоставить максимально широкие права доступа для решения проблемы, а не применять надлежащую должную осмотрительность и расследовать причину маршрута.

Как говорили другие, вернитесь и дайте им больше информации. Существует очень веская причина, по которой учетная запись ASPNET работает с ограниченными правами; бремя ответственности заключается в том, что поставщик правильно объясняет, почему хорошая практика безопасности должна быть скомпрометирована для запуска своего продукта.