WinCollect Contas Virtuais

Novo no WinCollect 10.1.4 WinCollect 10 agora suporta Contas Virtuais.

O que há de novo e quais são as contas virtuais?

Em versões anteriores do WinCollect 10, o agente é executado como o usuário integrado do LocalSytem Isso foi feito inicialmente por causa do acesso extensivo necessário para o WinCollect para monitorar adequadamente os logs de eventos e o próprio serviço. Com o impulso crescente para tornar os aplicativos mais configuráveis e para manter a melhor prática de privilégio mínimo, o WinCollect está sendo movido para uma abordagem mais moderna

O conceito de contas virtuais foi introduzido no Windows 7. Essas contas funcionam de maneira semelhante a outras contas integradas, como NT AUTHORITY\Network Service e LocalService, com algumas funções adicionais. No entanto, o WinCollect requer mais acesso e modificar essas contas mudaria os direitos de acesso para qualquer outro aplicativo ou serviço que também usa a conta.. As contas virtuais são contas de serviço totalmente customizáveis que você pode modificar para ter o menor número de privilégios que são necessários para funcionar. Agora é possível configurar seu próprio conjunto customizado de direitos de usuário, permissões de acesso e grupos locais, para fornecer uma experiência de segurança mais customizada

Geralmente, essa atualização fornece uma melhoria substancial para a segurança do aplicativo que não é perceptível ao usuário. O fato de que o WinCollect não usa mais o usuário LocalSystem , juntamente com as opções de configuração incluídas, fornece a capacidade de customizar seu próprio agente, com base no ambiente em que ele está. O instalador manipula todos os detalhes que a maioria dos usuários requer:

  • Configurando o serviço do agente WinCollect para usar a conta virtual NT SERVICE\WinCollect .
  • Concedendo à conta virtual os direitos de usuário corretos para manipular coisas como controle de serviço e auditoria de log
  • Incluindo permissões de arquivo para incluir a conta virtual nas estruturas de pastas do WinCollect para criação de log e configuração
  • Incluindo a conta virtual no grupo do Event Log Readers para monitorar origens de aplicativos locais
  • Permitindo que o usuário selecione se a conta virtual será incluída no grupo Administrators
  • Limpando as permissões anteriores quando o WinCollect é desinstalado
  • Fornecer a capacidade de executar um reparo completo se qualquer uma das opções anteriores for mudada e precisar ser reconfigurada de volta para um estado conhecido

Etapas adicionais podem ser encontradas aqui para responder a quaisquer outras perguntas sobre implementação e ajustes que você pode querer fazer em seu próprio ambiente.

Por que está sendo incluído no grupo de Administradores uma opção

Uma das novas opções no instalador do WinCollect é a capacidade de selecionar se a conta virtual criada será incluída no grupo local do Administrators Esta seleção é necessária para ajudar a sua atualização ou instalação a ir sem problemas

Incluído no grupo de administradores
Na maioria dos casos, selecione esta opção Essa opção fornece ao agente do WinCollect mais acesso por padrão Em seguida, você não precisa se preocupar com a inclusão manual do acesso à conta virtual em quaisquer diretórios ou arquivos de origem de log locais que o WinCollect monitora
Não incluído no grupo de administradores
Esta opção mais avançada permite uma aplicação mais segura aderindo à prática do privilégio mínimo. Qualquer local ou diretório de log WinCollect precisa de acesso para ser incluído manualmente, assim como grupos de usuários para coisas como IIS avançado. A quantia de esforço necessária varia com base nas origens das quais seu agente do WinCollect está coletando.

Como personalizar a conta virtual

Como modificar a política de grupo e os direitos de usuário
É possível alterar os direitos de usuário de qualquer conta ou grupo usando o Editor de Políticas de Grupo Local. Selecionar Configuração do Computador > Configurações do Windows > Configurações de Segurança > Políticas Locais > Designação de direitos do usuário para ver todas as políticas disponíveis Em seguida, é possível incluir ou remover o NT SERVICE\WinCollect de qualquer um deles
Como modificar grupos locais
Use uma instância de administrador do Power Shell para executar comandos chave para visualizar grupos locais e fazer quaisquer atualizações necessárias.

net localgroup lista todos os grupos na máquina.

net localgroup Administrators lista todos os usuários que fazem parte do grupo Administradores.

net localgroup Administrators /add NT SERVICE\WinCollect inclui a conta virtual no grupo Administradores.

net localgroup Administrators /remove NT SERVICE\WinCollect remove a conta virtual do grupo Administradores.

Como alterar permissões de arquivo e pasta
A maneira mais simples de modificar as permissões de vários arquivos ou pastas é usar a GUI. Clique com o botão direito no arquivo ou pasta que você deseja alterar no explorador de arquivos e selecione Propriedades > Segurança. Selecione Editare, em seguida, poderá incluir a conta NT SERVICE\WinCollect para incluir ou negar permissões.

Se você tiver uma pasta que contenha vários logs, a maneira mais simples de modificar rapidamente as permissões de todos os arquivos é usar a herança No menu Propriedades > Segurança , selecione Avançado para ver mais configurações. Clique em Alterar Permissões, selecione qualquer uma das permissões de usuário que você deseja tornar herdáveis, selecione Incluire, em seguida, selecione o tipo de herança desejado no menu Aplica-se a .

Como a conta virtual muda a instalação da linha de comandos

A instalação da linha de comando agora requer uma sinalização extra para uma instalação válida. É possível configurar a sinalização ADMIN_GROUP como true ou false, em que true inclui as contas virtuais no grupo local Administrators . Essa sinalização aparece no bloco de texto copiável quando você executa o instalador no modo customizado.

controladores de domínio

Um agente WinCollect instalado em um controlador de domínio não pode ser configurado para usar uma conta virtual local porque os controladores de domínio não permitem o uso de contas locais. Portanto, WinCollect será instalado e configurado para executar como a conta LocalSystem . Para propósitos de segurança, recomendamos criar uma conta separada para o serviço WinCollect e especificá-la na instalação usando a sinalização ACCOUNT_NAME .

Usando uma conta diferente para executar o WinCollect

A opção padrão na instalação é usar a conta virtual fornecendo a sinalização ADMIN_GROUP . Em controladores de domínio, a sinalização ADMIN_GROUP não é necessária e a conta padrão é a conta LocalSystem . É recomendado que a conta virtual seja usada sempre que possível, mas nos controladores de domínio ou quando uma conta de serviço separada deve ser usada, os usuários têm a opção de especificar uma conta separada. Isso pode ser feito fornecendo a opção ACCOUNT_NAME na instalação, no formato <Domain>\<Account name>. O domínio e a barra invertida podem ser omitidos, se não forem necessários A conta usada deve ter permissões para efetuar logon como serviço e não deve requerer uma senha para efetuar logon. Recomendamos usar uma conta de serviço gerenciada ou gerenciada por grupo.

Durante a configuração, a conta fornecida receberá permissões para todas as pastas necessárias No entanto, a conta não será adicionada a nenhum grupo. A conta deve ser incluída manualmente no grupo de Administradores local se o acesso a quaisquer pastas fora das pastas específicas do WinCollect for necessário e deve ser incluído no grupo de Leitores do Log de Eventos local se o acesso ao canal de Segurança for necessário...

Perguntas Frenquentes

Pergunta Resposta
Ainda posso usar a conta LocalSystem ? Sim. Não é recomendado, mas você sempre tem a opção de modificar o serviço local para executar como qualquer usuário ou instalar com ACCOUNT_NAME como LocalSystem.
Por que não usar uma conta de usuário? A resposta curta é gestão. É mais simples lidar com o tempo de vida de uma conta virtual, e ele vai acabar com muitos obstáculos maiores, como o gerenciamento de senhas.
O que acontece se eu não configurar a pasta correta ou permissões de arquivo para um local de log? O agente ainda é executado, mas os logs não podem acessar o local com permissões incorretas. Eventos não são coletados até que o problema seja resolvido.