How to TeK: Como executar algumas tarefas de administrador do Windows em contas standard

Existem algumas ações que pode fazer como administrador diretamente da conta normal, sem ter que alternar constantemente para a autenticação standard.

Quando se trabalha em computadores sem total acesso privilegiado às funcionalidades de administração da máquina, o administrador é obrigado a saltar entre as mesmas. E numa situação de uma empresa, com diversas máquinas em que são necessárias várias ações de manutenção, os processos podem repetir-se e demorar mais tempo.

Mas existem formas de executar tarefas administrativas, sem a necessidade de desligar da conta de utilizar standard que precisa gerir. Como explica a ITPro Today, os processos de segurança utilizam o mesmo contexto entre as contas de administração e normais, o que desencoraja mesmo os administradores a utilizarem a sua conta, a menos que seja mesmo necessário. Se um administrador ativar acidentalmente uma infeção de ransomware na sua conta com privilégios, a conta normal vai herdar esse mesmo ataque. Por outro lado, se estiver numa conta normal, terá sempre a “proteção” da limitação de privilégios que acabam por ser fundamentais para ativar um ataque.

Uma das formas de acesso privilegiado num ambiente de Windows é a utilização do Microsoft Privileged Access Management (PAM), que a Microsoft explica ao detalhe. A ideia é que os privilégios sejam bloqueados de forma a que as funcionalidades da conta sejam similares às do utilizador. E neste processo, quando um administrador precisa de executar operações com autorizações privilegiadas, pode obtê-las pelo tempo necessário de as realizar.

A Microsoft diz que o PAM tem dois objetivos principais: restabelecer o controlo de um diretório ativo comprometido, ao manter um segundo ambiente que tenha conhecimento de não estar infetado. E em segundo, isolar o uso de contas privilegiadas para reduzir o risco, no caso de roubo de credenciais.

A segunda forma de facilitar a vida dos administradores de TI é utilizar dois computadores em separado, um deles será utilizado para operações standard e outra para acesso privilegiado. Dessa forma, garante que um administrador nunca comprometa uma conta, uma vez que nunca utilizará dados de acesso a uma conta privilegiada num computador standard.

Por fim, outra dica da ITPro Today é a utilização da ferramenta RunAs do Windows. Esta permite que um utilizador normal utilize uma conta privilegiada para lançar processos específicos. Ainda assim, é necessário que um administrador introduza credenciais privilegiadas, enquanto está autenticado como um utilizador regular. Mas poupa a necessidade de alternar entre as contas para executar as operações privilegiadas, através de comandos através da aplicação PowerShell.

O How To TeK é a rubrica do SAPO TeK que pretende ajudar todos os utilizadores em tarefas simples (mas que parecem complexas) na utilização de computadores e telemóveis. Se tiver sugestões de truques que quer ver esclarecidos envie um email para geral@tek.sapo.pt.