Contas locais

Este artigo descreve as contas de usuário locais padrão para sistemas operacionais Windows e como gerenciar as contas internas.

Sobre contas de usuário locais

As contas de usuário locais são definidas localmente em um dispositivo e podem ser atribuídas direitos e permissões somente no dispositivo. As contas de usuário locais são entidades de segurança usadas para proteger e gerenciar o acesso aos recursos em um dispositivo, para serviços ou usuários.

Contas de usuário locais padrão

As contas de usuário locais padrão são contas internas que são criadas automaticamente quando o sistema operacional é instalado. As contas de usuário locais padrão não podem ser removidas ou excluídas e não fornecem acesso aos recursos de rede.

As contas de usuário locais padrão são usadas para gerenciar o acesso aos recursos do dispositivo local com base nos direitos e permissões atribuídos à conta. As contas de usuário locais padrão e as contas de usuário locais que você cria estão localizadas na pasta Usuários . A pasta Usuários está localizada na pasta Usuários Locais e Grupos no MMC (Console de Gerenciamento de Computadores ) local. O Gerenciamento de Computadores é uma coleção de ferramentas administrativas que você pode usar para gerenciar um dispositivo local ou remoto.

As contas de usuário locais padrão são descritas nas seções a seguir. Expanda cada seção para obter mais informações.

Administrador

A conta de administrador local padrão é uma conta de usuário para administração do sistema. Cada computador tem uma conta de administrador (SID S-1-5-domain-500, administrador de nome de exibição). A conta Administrador é a primeira conta criada durante a instalação do Windows.

A conta administrador tem controle total dos arquivos, diretórios, serviços e outros recursos no dispositivo local. A conta administrador pode criar outros usuários locais, atribuir direitos de usuário e atribuir permissões. A conta administrador pode assumir o controle dos recursos locais a qualquer momento alterando os direitos e permissões do usuário.

A conta de administrador padrão não pode ser excluída ou bloqueada, mas pode ser renomeada ou desabilitada.

A configuração do Windows desabilita a conta de administrador interna e cria outra conta local que é membro do grupo Administradores.

Os membros dos grupos administradores podem executar aplicativos com permissões elevadas sem usar a opção Executar como Administrador . A comutação rápida de usuário é mais segura do que o uso runas ou a elevação de usuários diferentes.

Associação de grupo de contas

Por padrão, a conta Administrador é um membro do grupo Administradores. É uma prática recomendada limitar o número de usuários no grupo Administradores porque os membros do grupo Administradores têm permissões de Controle Total no dispositivo.

A conta administrador não pode ser removida do grupo Administradores.

Considerações de segurança

Como a conta administrador é conhecida por existir em muitas versões do sistema operacional Windows, é uma prática recomendada desabilitar a conta administrador quando possível para dificultar o acesso de usuários mal-intencionados ao servidor ou ao computador cliente.

Você pode renomear a conta administrador. No entanto, uma conta administrador renomeada continua a usar o mesmo SID (identificador de segurança atribuído automaticamente), que pode ser descoberto por usuários mal-intencionados. Para obter mais informações sobre como renomear ou desabilitar uma conta de usuário, consulte Desabilitar ou ativar uma conta de usuário local e Renomear uma conta de usuário local.

Como uma prática recomendada de segurança, use sua conta local (não administrador) para entrar e, em seguida, use Executar como administrador para realizar tarefas que exigem um nível mais alto de direitos do que uma conta de usuário padrão. Não use a conta de administrador para entrar no computador, a menos que seja totalmente necessário. Para obter mais informações, consulte Executar um programa com credenciais administrativas.

Política de Grupo pode ser usado para controlar o uso do grupo administradores locais automaticamente. Para obter mais informações sobre Política de Grupo, consulte Visão geral Política de Grupo.

Convidado

A conta Convidado permite que usuários ocasionais ou únicos, que não têm uma conta no computador, entrem temporariamente no servidor local ou no computador cliente com direitos limitados de usuário. Por padrão, a conta Convidado está desabilitada e tem uma senha em branco. Como a conta Convidado pode fornecer acesso anônimo, ela é considerada um risco de segurança. Por esse motivo, é uma prática recomendada deixar a conta convidado desabilitada, a menos que seu uso seja necessário.

Associação de grupo de conta convidado

Por padrão, a conta Convidado é o único membro do grupo SID S-1-5-32-546de convidados padrão , que permite que um usuário entre em um dispositivo.

Considerações de segurança da conta de convidado

Ao habilitar a conta convidado, conceda apenas direitos e permissões limitados. Por motivos de segurança, a conta Convidado não deve ser usada pela rede e tornada acessível a outros computadores.

Além disso, o usuário convidado na conta convidado não deve ser capaz de exibir os logs de eventos. Depois que a conta Convidado estiver habilitada, é uma prática recomendada monitorar a conta convidado com frequência para garantir que outros usuários não possam usar serviços e outros recursos. Isso inclui recursos que foram involuntariamente deixados disponíveis por um usuário anterior.

Helpassistant

A conta HelpAssistant é uma conta local padrão habilitada quando uma sessão de Assistência Remota é executada. Essa conta é desabilitada automaticamente quando nenhuma solicitação de Assistência Remota está pendente.

HelpAssistant é a conta primária usada para estabelecer uma sessão de Assistência Remota. A sessão de Assistência Remota é usada para se conectar a outro computador que executa o sistema operacional Windows e é iniciada por convite. Para assistência remota solicitada, um usuário envia um convite de seu computador, por email ou como arquivo, para uma pessoa que pode fornecer assistência. Depois que o convite do usuário para uma sessão de Assistência Remota é aceito, a conta HelpAssistant padrão é criada automaticamente para dar à pessoa que fornece assistência acesso limitado ao computador. A conta HelpAssistant é gerenciada pelo serviço Gerenciador de Sessão de Ajuda da Área de Trabalho Remota.

Considerações de segurança da conta do HelpAssistant

Os SIDs pertencentes à conta HelpAssistant padrão incluem:

• SID: S-1-5-<domain>-13, nome de exibição Usuário do Terminal Server. Esse grupo inclui todos os usuários que entrarem em um servidor com os Serviços de Área de Trabalho Remota habilitados.
• SID: S-1-5-<domain>-14, nome de exibição Logon interativo remoto. Esse grupo inclui todos os usuários que se conectam ao computador usando uma conexão de área de trabalho remota. Esse grupo é um subconjunto do grupo Interativo. Os tokens de acesso que contêm o SID de Logon Interativo Remoto também contêm o SID Interativo.

Para o sistema operacional Windows Server, a Assistência Remota é um componente opcional que não é instalado por padrão. Você deve instalar a Assistência Remota antes que ela possa ser usada.

Para obter detalhes sobre os atributos da conta HelpAssistant, consulte a tabela a seguir.

Atributos da conta HelpAssistant

DefaultAccount

A conta DefaultAccount, também conhecida como DSMA (Conta Gerenciada do Sistema Padrão), é um tipo de conta de usuário bem conhecido. DefaultAccount pode ser usado para executar processos que são multiusuários conscientes ou usuários agnósticos.

O DSMA é desabilitado por padrão nas edições da área de trabalho e nos sistemas operacionais do Servidor com a experiência da área de trabalho.

O DSMA tem um RID bem conhecido de 503. O SID (identificador de segurança) do DSMA terá um SID bem conhecido no seguinte formato: S-1-5-21-\<ComputerIdentifier>-503.

O DSMA é um membro do grupo conhecido System Managed Accounts Group, que tem um SID bem conhecido de S-1-5-32-581.

O alias DSMA pode ter acesso aos recursos durante o preparo offline mesmo antes da própria conta ser criada. A conta e o grupo são criados durante a primeira inicialização do computador no SAM (Gerenciador de Contas de Segurança).

Como o Windows usa o DefaultAccount

De uma perspectiva de permissão, o DefaultAccount é uma conta de usuário padrão. O DefaultAccount é necessário para executar aplicativos MUMA (aplicativos de vários usuários manifestados). Os aplicativos MUMA são executados o tempo todo e reagem aos usuários que entram e saem dos dispositivos. Ao contrário do Windows Desktop, onde os aplicativos são executados no contexto do usuário e são encerrados quando o usuário sai, os aplicativos MUMA são executados usando o DSMA.

Os aplicativos MUMA são funcionais em SKUs de sessão compartilhada, como o Xbox. Por exemplo, o Shell do Xbox é um aplicativo MUMA. Hoje, o Xbox entra automaticamente como conta convidado e todos os aplicativos são executados neste contexto. Todos os aplicativos têm reconhecimento de vários usuários e respondem aos eventos disparados pelo gerenciador de usuários. Os aplicativos são executados como a conta Convidado.

Da mesma forma, o Telefone faz logon automático como uma conta de DefApps , que é semelhante à conta de usuário padrão no Windows, mas com alguns privilégios extras. Corretores, alguns serviços e aplicativos são executados como essa conta.

No modelo de usuário convergido, os aplicativos com reconhecimento de vários usuários e os agentes com reconhecimento de vários usuários precisarão ser executados em um contexto diferente do dos usuários. Para essa finalidade, o sistema cria o DSMA.

Como o DefaultAccount é criado em controladores de domínio

Se o domínio foi criado com controladores de domínio executando Windows Server 2016, o DefaultAccount existirá em todos os controladores de domínio no domínio. Se o domínio foi criado com controladores de domínio executando uma versão anterior do Windows Server, o DefaultAccount será criado depois que a função PDC Emulator for transferida para um controlador de domínio que executa Windows Server 2016. O DefaultAccount é replicado para todos os outros controladores de domínio no domínio.

Recomendações para gerenciar a DSMA (Conta Padrão)

A Microsoft não recomenda alterar a configuração padrão, em que a conta está desabilitada. Não há risco de segurança em ter a conta no estado desabilitado. A alteração da configuração padrão pode dificultar cenários futuros que dependem dessa conta.

Contas padrão do sistema local

SISTEMA

A conta SYSTEM é usada pelo sistema operacional e pelos serviços em execução no Windows. Há muitos serviços e processos no sistema operacional Windows que precisam da funcionalidade para entrar internamente, como durante uma instalação do Windows. A conta SYSTEM foi projetada para essa finalidade e o Windows gerencia os direitos de usuário da conta SYSTEM. É uma conta interna que não aparece no Gerenciador de Usuários e não pode ser adicionada a nenhum grupo.

Por outro lado, a conta SYSTEM aparece em um volume do sistema de arquivos NTFS no Gerenciador de Arquivos na parte Permissões do menu Segurança . Por padrão, a conta SYSTEM recebe permissões de Controle Total para todos os arquivos em um volume NTFS. Aqui, a conta SYSTEM tem os mesmos direitos e permissões funcionais que a conta administradora.

SERVIÇO DE REDE

A conta NETWORK SERVICE é uma conta local predefinida usada pelo SCM (gerenciador de controle de serviço). Um serviço executado no contexto da conta NETWORK SERVICE apresenta as credenciais do computador para servidores remotos. Para obter mais informações, consulte Conta do NetworkService.

SERVIÇO LOCAL

A conta LOCAL SERVICE é uma conta local predefinida usada pelo gerenciador de controle de serviços. Ele tem privilégios mínimos no computador local e apresenta credenciais anônimas na rede. Para obter mais informações, consulte Conta localService.

Como gerenciar contas de usuário locais

As contas de usuário locais padrão e as contas de usuário locais que você cria estão localizadas na pasta Usuários. A pasta Usuários está localizada em Usuários Locais e Grupos. Para obter mais informações sobre como criar e gerenciar contas de usuário locais, consulte Gerenciar Usuários Locais.

Você pode usar usuários e grupos locais para atribuir direitos e permissões apenas no servidor local para limitar a capacidade dos usuários e grupos locais de executar determinadas ações. Um direito autoriza um usuário a executar determinadas ações em um servidor, como fazer backup de arquivos e pastas ou desligar um servidor. Uma permissão de acesso é uma regra associada a um objeto, geralmente um arquivo, pasta ou impressora. Ele regula quais usuários podem ter acesso a um objeto no servidor e de que maneira.

Você não pode usar usuários locais e grupos em um controlador de domínio. No entanto, você pode usar usuários locais e grupos em um controlador de domínio para direcionar computadores remotos que não são controladores de domínio na rede.

Você também pode gerenciar usuários locais usando NET.EXE USER e gerenciar grupos locais usando NET.EXE LOCALGROUP ou usando vários cmdlets do PowerShell e outras tecnologias de script.

Restringir e proteger contas locais com direitos administrativos

Um administrador pode usar muitas abordagens para impedir que usuários mal-intencionados usem credenciais roubadas, como uma senha roubada ou hash de senha, para que uma conta local em um computador seja usada para autenticar em outro computador com direitos administrativos. Isso também é chamado de movimento lateral.

A abordagem mais simples é entrar no computador com uma conta de usuário padrão, em vez de usar a conta administrador para tarefas. Por exemplo, use uma conta padrão para navegar na Internet, enviar email ou usar um processador de palavras. Quando você deseja executar tarefas administrativas, como instalar um novo programa ou alterar uma configuração que afeta outros usuários, você não precisa mudar para uma conta do Administrador. Você pode usar o UAC (Controle de Conta de Usuário) para solicitar permissão ou uma senha de administrador antes de executar a tarefa, conforme descrito na próxima seção.

As outras abordagens que podem ser usadas para restringir e proteger contas de usuário com direitos administrativos incluem:

• Impor restrições de conta local para acesso remoto
• Negar logon de rede a todas as contas de administrador local
• Criar senhas exclusivas para contas locais com direitos administrativos

Cada uma dessas abordagens é descrita nas seções a seguir.

Impor restrições de conta local para acesso remoto

O UAC (Controle de Conta de Usuário) é um recurso de segurança que informa quando um programa faz uma alteração que requer permissões administrativas. O UAC funciona ajustando o nível de permissão da sua conta de usuário. Por padrão, o UAC é definido para notificá-lo quando os aplicativos tentam fazer alterações no computador, mas você pode alterar quando o UAC notifica você.

O UAC permite que uma conta com direitos administrativos seja tratada como uma conta não administradora de usuário padrão até que os direitos completos, também chamados de elevação, sejam solicitados e aprovados. Por exemplo, o UAC permite que um administrador insira credenciais durante a sessão de usuário de um não administrador para executar tarefas administrativas ocasionais sem precisar alternar usuários, sair ou usar o comando Executar como .

Além disso, o UAC pode exigir que os administradores aprovem especificamente aplicativos que fazem alterações em todo o sistema antes que esses aplicativos sejam autorizados a serem executados, mesmo na sessão de usuário do administrador.

Por exemplo, um recurso padrão do UAC é mostrado quando uma conta local entra de um computador remoto usando logon de rede (por exemplo, usando NET.EXE USE). Nesta instância, ele emitiu um token de usuário padrão sem direitos administrativos, mas sem a capacidade de solicitar ou receber elevação. Consequentemente, as contas locais que fazem logon de rede não podem acessar compartilhamentos administrativos, como C$ou ADMIN$, ou executar qualquer administração remota.

Para obter mais informações sobre o UAC, consulte Controle de Conta de Usuário.

A tabela a seguir mostra as configurações de Política de Grupo e registro usadas para impor restrições de conta local para acesso remoto.

Para impor restrições de conta local para acesso remoto

1. Iniciar o GPMC (console de gerenciamento de Política de Grupo)
2. Na árvore de console, expanda <Forest>\Domains\<Domain> e, em seguida, Política de Grupo Objetos em que a floresta é o nome da floresta e o domínio é o nome do domínio em que você deseja definir o objeto Política de Grupo (GPO)
3. Na árvore do console, clique com o botão direito do mouse em Política de Grupo Objetos > Novos
4. Na caixa de diálogo Novo GPO, digite<gpo_name> e >OK em que gpo_name é o nome do novo GPO. O nome gpo indica que o GPO é usado para restringir os direitos de administrador local de serem transportados para outro computador
5. No painel de detalhes, clique com o botão < direito do mouse em gpo_name> e >Editar
6. Verifique se o UAC está habilitado e se as restrições do UAC se aplicam à conta de administrador padrão seguindo estas etapas:

• Navegue até a Configuração do Computador\Configurações do Windows\Configurações de Segurança\Políticas Locais\e >Opções de Segurança
• Clique duas vezes no Controle da Conta de Usuário: execute todos os administradores no modo> de aprovação de Administraçãohabilitado>OK
• Clique duas vezes no Controle da Conta de Usuário: Administração Modo de Aprovação para a conta> de administradorinterna habilitada>OK

1. Verifique se as restrições de conta local são aplicadas às interfaces de rede seguindo estas etapas:

• Navegue até Configuração do Computador\Preferências e Configurações do Windows e >Registro
• Clique com o botão direito do mouse no Registro e >no Novo>Item do Registro
• Na caixa de diálogo Novas Propriedades do Registro , na guia Geral , altere a configuração na caixa Ação para Substituir
• Verifique se a caixa Hive está definida como HKEY_LOCAL_MACHINE
• Selecione (...), navegue até o local a seguir para Selecionar Caminho>da Chave para: SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System
• Na área Nome do valor , digite LocalAccountTokenFilterPolicy
• Na caixa Tipo de valor , na lista suspensa, selecione REG_DWORD para alterar o valor
• Na caixa de dados Valor , verifique se o valor está definido como 0
• Verifique essa configuração e >OK

1. Vincule o GPO à primeira OU (unidade organizacional de estações de trabalho ) fazendo o seguinte:

• Navegue até o *Forest*\<Domains>\*Domain*\*OU* caminho
• Clique com o botão direito do mouse no Link de Estações de > Trabalho de um GPO existente
• Selecione o GPO que você criou e >OK

1. Testar a funcionalidade de aplicativos corporativos nas estações de trabalho na primeira UA e resolve quaisquer problemas causados pela nova política
2. Criar links para todas as outras OUs que contêm estações de trabalho
3. Criar links para todas as outras OUs que contêm servidores

Negar logon de rede a todas as contas de administrador local

Negar às contas locais a capacidade de executar logons de rede pode ajudar a impedir que um hash de senha de conta local seja reutilizado em um ataque mal-intencionado. Esse procedimento ajuda a impedir a movimentação lateral, garantindo que as credenciais roubadas para contas locais de um sistema operacional comprometido não possam ser usadas para comprometer outros computadores que usam as mesmas credenciais.

A tabela a seguir mostra as configurações de Política de Grupo usadas para negar o logon de rede para todas as contas de administrador local.

Para negar o logon de rede a todas as contas de administrador local

1. Iniciar o GPMC (console de gerenciamento de Política de Grupo)
2. Na árvore de console, expanda <Forest>\Domains\<Domain> e, em seguida, Política de Grupo Objects, onde a floresta é o nome da floresta, e o domínio é o nome do domínio em que você deseja definir o objeto Política de Grupo (GPO)
3. Na árvore do console, clique com o botão direito do mouse em Política de Grupo Objetos e >Novo
4. Na caixa de diálogo Novo GPO, digite<gpo_name> e, em seguida>, OK, onde gpo_name é o nome do novo GPO indica que ele está sendo usado para restringir as contas administrativas locais de entrar interativamente no computador
5. No painel de detalhes, clique com o botão < direito do mouse em gpo_name> e >Editar
6. Configure os direitos do usuário para negar logons de rede para contas locais administrativas da seguinte maneira:
7. Navegue até a Configuração do Computador\Configurações do Windows\Configurações de Segurança\e >Atribuição de Direitos do Usuário
8. Clique duas vezes em Negar acesso a este computador por meio da rede
9. Selecione Adicionar Usuário ou Grupo, digite Conta local e membro do grupo Administradores e >OK
10. Configure os direitos do usuário para negar logotipos da Área de Trabalho Remota (Remote Interactive) para contas locais administrativas da seguinte maneira:
11. Navegue até Configuração do Computador\Políticas\Configurações do Windows e Políticas Locais e selecione Atribuição de Direitos do Usuário
12. Clique duas vezes em Negar logon por meio dos Serviços de Área de Trabalho Remota
13. Selecione Adicionar Usuário ou Grupo, digite Conta local e membro do grupo Administradores e >OK
14. Vincule o GPO à primeira OU das estações de trabalho da seguinte maneira:

• Navegue até o < caminho Forest>\Domains\<Domain>\OU
• Clique com o botão direito do mouse na OU das estações de trabalho e >vincule um GPO existente
• Selecione o GPO que você criou e >OK

1. Testar a funcionalidade de aplicativos corporativos nas estações de trabalho na primeira UA e resolve quaisquer problemas causados pela nova política
2. Criar links para todas as outras OUs que contêm estações de trabalho
3. Criar links para todas as outras OUs que contêm servidores

Criar senhas exclusivas para contas locais com direitos administrativos

As senhas devem ser exclusivas por conta individual. Embora seja verdade para contas de usuário individuais, muitas empresas têm senhas idênticas para contas locais comuns, como a conta de administrador padrão. Isso também ocorre quando as mesmas senhas são usadas para contas locais durante implantações do sistema operacional.

Senhas que são deixadas inalteradas ou alteradas de forma síncrona para mantê-las idênticas adicionam um risco significativo para as organizações. A randomização das senhas atenua ataques de "passar o hash" usando senhas diferentes para contas locais, o que dificulta a capacidade dos usuários mal-intencionados de usar hashes de senha dessas contas para comprometer outros computadores.

As senhas podem ser aleatórias por:

• Comprar e implementar uma ferramenta corporativa para realizar essa tarefa. Essas ferramentas são comumente conhecidas como ferramentas de "gerenciamento de senha privilegiado"
• Configurando a laps (solução de senha do administrador local) para realizar essa tarefa
• Criando e implementando um script ou solução personalizado para randomizar senhas de conta local