Protezione dell’amministratore

La protezione amministratore è una funzionalità di sicurezza della piattaforma in Windows 11 progettata per garantire che gli utenti eseguano con il minor privilegio necessario, elevando i diritti di amministratore solo quando necessario e solo con l'approvazione esplicita dell'utente. Questa funzionalità opera in base al principio dei privilegi minimi, mantenendo gli utenti in uno stato non privilegiato e concedendo diritti di elevazione just-in-time solo quando necessario.

Nel panorama digitale odierno, gli utenti con diritti di amministratore in Windows dispongono di potenti funzionalità per modificare le configurazioni e apportare modifiche a livello di sistema che potrebbero influire sulla postura di sicurezza complessiva di un dispositivo Windows 11. I privilegi amministrativi creano un vettore di attacco significativo. Gli autori di minacce spesso sfruttano questi privilegi per ottenere l'accesso non autorizzato ai dati degli utenti, compromettere la privacy e disabilitare le funzionalità di sicurezza del sistema operativo all'insaputa dell'utente.

La protezione degli amministratori risolve questo problema richiedendo agli utenti di verificare la propria identità con l'autenticazione integrata di Windows Hello. Applica questa verifica prima di consentire azioni che richiedono privilegi di amministratore, come l'installazione di software, la modifica delle impostazioni di sistema come l'ora o il Registro di sistema e l'accesso a dati sensibili.

Vantaggi

La protezione degli amministratori offre diversi vantaggi principali:

• Sicurezza avanzata: richiedendo l'autorizzazione esplicita dell'utente per ogni attività amministrativa, la protezione dell'amministratore protegge Windows da modifiche accidentali da parte degli utenti e modifiche da malware. Aiuta a garantire che gli utenti siano consapevoli delle azioni potenzialmente dannose prima che si verifichino, fornendo un ulteriore livello di difesa contro le minacce.

• Controllo utente: la protezione dell'amministratore richiede agli utenti di decidere esplicitamente se vogliono che una particolare applicazione venga eseguita con privilegi elevati. In questo modo si garantisce che solo le app autorizzate possano apportare modifiche al sistema, riducendo il rischio di modifiche accidentali o dannose.

• Riduzione del malware: il software dannoso spesso si basa sui privilegi di amministratore per modificare le impostazioni del dispositivo ed eseguire azioni dannose. La protezione dell'amministratore interrompe la catena di uccisione degli attacchi poiché il malware non può più acquisire silenziosamente i privilegi di amministratore.

Requisiti di sistema

La protezione amministratore è ora disponibile con KB5120998. La funzionalità è disattivata per impostazione predefinita. I clienti aziendali possono abilitare la funzionalità utilizzando URI OMA personalizzati.

Edizioni supportate: Windows 11 Home, Pro, Enterprise, Education.

La protezione amministratore si applica attualmente ai dispositivi Windows 11 supportati all'esterno dei PC cloud di Windows 365 e degli host sessione di Desktop virtuale Azure. Il supporto per questi ambienti, così come per le edizioni di Windows Server, è previsto per un rilascio futuro.

Per gli host sessione di Windows 365 e Desktop virtuale Azure, configurare gli utenti come utenti standard per seguire le procedure consigliate con privilegi minimi.

Come funziona la protezione dell'amministratore

Fondamentalmente, la protezione dell'amministratore opera secondo il principio del privilegio minimo. Quando un utente accede a Windows, riceve un token utente senza privilegi. Tuttavia, quando sono necessari privilegi di amministratore, Windows richiede all'utente di autorizzare l'operazione. Dopo l'autorizzazione, Windows usa un account utente nascosto, generato dal sistema e separato dal profilo per creare un token di amministrazione isolato. Questo token viene rilasciato al processo di richiesta e viene eliminato una volta terminato il processo, garantendo che i privilegi di amministratore non vengano mantenuti. Le modifiche all'architettura assicurano che nessuno possa accedere o manomettere il codice o i dati delle sessioni con privilegi elevati senza un'autorizzazione adeguata.

Alcune applicazioni potrebbero fare affidamento sui diritti di amministratore sempre presenti e sul fatto che il profilo con privilegi elevati sia accessibile quando l'esecuzione non è elevata. Con questo nuovo approccio, alcuni scenari in queste app potrebbero richiedere aggiornamenti per funzionare senza problemi con il modello di sicurezza avanzata. Microsoft collabora attivamente con gli sviluppatori di app per aiutarli ad adattarsi, assicurando che le tue esperienze preferite rimangano senza interruzioni mantenendo il sistema protetto. Per indicazioni sullo sviluppo delle applicazioni, vedere Migliorare la sicurezza delle applicazioni con la protezione dell'amministratore.

In definitiva, queste modifiche mirano a rendere Windows più sicuro per te, in modo che tu possa usufruire di potenti funzionalità in tutta tranquillità.

Principali caratteristiche architettoniche

• Elevazione just-in-time: gli utenti rimangono senza privilegi e ricevono diritti di elevazione just-in-time solo durante un'operazione di amministrazione. Il token di amministratore viene rimosso dopo l'uso e ricreato quando viene eseguita un'altra attività che richiede privilegi di amministratore.

• Separazione del profilo: la protezione dell'amministratore usa account utente nascosti, generati dal sistema e separati dal profilo per creare token di amministratore isolati. In questo modo si garantisce che il malware a livello di utente non possa compromettere la sessione con privilegi elevati.

• Nessuna elevazione automatica: gli utenti devono autorizzare in modo interattivo ogni operazione di amministrazione. Ciò garantisce che l'utente amministratore mantenga il controllo completo e che non venga usato in modo improprio i privilegi di amministratore.

• Integrazione con Windows Hello: la protezione dell'amministratore è integrata con Windows Hello per un'autorizzazione semplice e sicura.

Configurazione

È possibile abilitare la protezione amministratore attraverso diversi metodi:

• Catalogo delle impostazioni di Microsoft Intune (anteprima)
• CSP
• Criteri di gruppo
• Impostazioni di sicurezza di Windows (anteprima)

Eventi di monitoraggio e creazione di report

Per tenere traccia delle elevazioni, la protezione dell'amministratore dispone di due nuovi eventi Event Tracing for Windows (ETW) nel provider Microsoft-Windows-LUA esistente con GUID {93c05d69-51a3-485e-877f-1806a8731346}:

Elementi che vengono registrati

• L'ID di sicurezza (SID) dell'utente che ha attivato l'elevazione dei privilegi
• Il nome e il percorso dell'applicazione
• Risultato dell'elevazione dei privilegi (approvato, negato, timeout)
• Account amministratore gestito di sistema usato per eseguire l'attività
• Metodo di autenticazione (ad esempio, password, PIN, Windows Hello)

Come acquisire questi eventi

• Abilitare il provider Microsoft-Windows-LUA (GUID: {93c05d69-51a3-485e-877f-1806a8731346})
• Usare Logman o WPR (Windows Performance Recorder) per avviare una sessione di traccia
• Filtra per ID 15031 evento e 15032
• Analizza il file .etl risultante usando l'analizzatore prestazioni Windows o lo strumento preferito

Ecco un esempio di comando:

logman start AdminProtectionTrace -p {93c05d69-51a3-485e-877f-1806a8731346} -ets

Risoluzione dei problemi

• Usare account di servizio SYSTEM o dedicati locali per le attività pianificate o gli script impostati per l'esecuzione "con i privilegi più elevati". In sostanza, riprogetta gli script per evitare di aspettarti un token di amministrazione sempre attivo. Qualsiasi flusso di lavoro che presupponeva la disponibilità di una sessione di amministrazione dovrà essere modificato.

• Quando le app vengono eseguite con privilegi elevati con protezione amministratore, le credenziali Single Sign-On (SSO) della sessione standard non sono disponibili per la sessione con privilegi elevati. Qualsiasi autenticazione di dominio o cloud deve essere ristabilita all'interno della sessione con privilegi elevati.

• Unità di rete/risorse Inaccessibili dalle app con privilegi elevati. Installalo nel contesto utente per abilitare le richieste di credenziali di rete. Se è essenziale installare un'applicazione con privilegi elevati, copiare i file di installazione in un'unità locale prima di elevarla.

• I dati delle impostazioni per le applicazioni non vengono trasferiti nei profili normale (non elevato) e in quelli elevati. Eleva solo le app di cui hai veramente bisogno. È consigliabile configurare tali applicazioni per l'utilizzo di directory di dati comuni accessibili a entrambi i profili (se possibile).

• L'accesso remoto in Windows 365 Cloud PC e gli host sessione di Desktop virtuale Azure, i profili mobili e gli amministratori di backup non sono supportati.

• Per gli scenari di amministrazione remota tra computer, il comportamento dell'elevazione dei privilegi remota può essere controllato dal criterio Controllo account utente: Consenti accesso remoto con privilegi elevati per gli utenti di dominio nel gruppo Administrators locale quando è abilitata la protezione dell'amministratore .

  Comportamento:

  • Disabilitato (impostazione predefinita): gli utenti di dominio nel gruppo Administrators locale eseguono accessi remoti senza privilegi elevati.
  • Abilitato: gli utenti di dominio nel gruppo Administrators locale eseguono accessi remoti con privilegi elevati, in linea con il comportamento tradizionale di Controllo dell'account utente.

  Per un controllo più granulare, usare il criterio Controllo dell'account utente: Consenti accesso remoto con privilegi elevati per utenti e gruppi di dominio specificati quando è abilitata la protezione amministratore per concedere accessi remoti elevati solo a utenti o gruppi di dominio designati, mantenendo gli altri utenti senza privilegi elevati.

• Alcune applicazioni non mostrano l'icona di avvio nel menu Start dopo l'installazione. Se è stato installato con privilegi elevati, è necessario passare manualmente al percorso di installazione: AppData\Roaming\Microsoft\Windows\Start Menu\Programs\<App name>

• Se l'aggiornamento di una qualsiasi delle applicazioni è bloccato, disabilitare temporaneamente la funzionalità. (È necessario riavviare il computer).

Articoli correlati

• Controllo dell'account utente
• Sicurezza accessi migliorata di Windows Hello
• Catalogo delle impostazioni di Microsoft Intune