Ihre Organisation implementiert Privileged Access Workstations (PAWs) für Tier-0-Administratoren. Anforderungen: Tier-0-Konten dürfen sich nur von PAWs aus anmelden, und PAWs dürfen nicht im Internet surfen oder E-Mail-Clients ausführen. Welche zwei Konfigurationen sollten Sie implementieren?

Die Konfiguration der Einschränkung "Anmelden bei..." für Tier-0-Administratorkonten stellt sicher, dass sich diese hochprivilegierten Konten nur von den designierten PAWs aus anmelden können, was die erste Anforderung erfüllt und das Risiko von Kompromittierungen von anderen Geräten minimiert. Die Anwendung einer GPO mit WDAC/AppLocker blockiert effektiv Webbrowser und E-Mail-Clients auf den PAWs, während ausgehende Firewall-Regeln den Netzwerkverkehr auf notwendige Verwaltungs- und Update-Endpunkte beschränken. Dies erfüllt die zweite Anforderung, indem es Internetzugang und E-Mail-Nutzung verhindert und somit die Angriffsfläche der PAWs reduziert. Das Hinzufügen von Tier-0-Administratorgruppen zu lokalen Administratorengruppen auf allen Benutzer-Workstations würde das Sicherheitsmodell untergraben. Das Platzieren von PAWs und Standard-Benutzer-PCs in derselben OU ist kontraproduktiv für die strikte Isolation von PAWs. Die Aktivierung der erweiterten Sicherheitskonfiguration des Internet Explorer und das Erlauben von E-Mails widerspricht direkt den Anforderungen, keine Internetnutzung und keine E-Mail-Clients auf PAWs zuzulassen.