Den lokale administratorgruppe på en klient eller server bliver sjældent set efter, når den først er sat op. Kontrollen har to dele: hvem der står i gruppen på hver maskine, og om den indbyggede lokale administrator har sit eget password på hver maskine eller det samme overalt.
Begge dele kan påvises med udtræk. Det første med en indbygget kommando, det andet ved at se, om en mekanisme til at styre passwordet er slået til og dækker alle maskiner.
Hvorfor punktet vejer tungt
Microsofts sikkerhedsbaselines er lavet til velstyrede organisationer, hvor almindelige brugere ikke har administratorrettigheder. Står brugerne selv i de lokale administratorgrupper, holder forudsætningen for baselinen ikke, og resten af sammenligningen bliver mindre værd.
CISA og NSA har adskillelsen mellem bruger og administrator med på deres liste over ti fejlopsætninger, som de har fundet i store organisationer. De ti punkter står uden indbyrdes rækkefølge. Anbefalingerne er at begrænse, at domænebrugere står i den lokale administratorgruppe på flere systemer, og at lokale administratorpasswords ikke genbruges på tværs af systemer.
Microsoft skriver i sin beskrivelse af Windows LAPS, at lokale administratorkonti ofte har samme password på mange enheder. Producenten nævner det også blandt de risikable opsætninger i Active Directory-miljøer. SAMSIK anbefaler i vejledningen om ransomware, at “Lokaladministratorkonti begrænses og skal altid anvende individuelle passwords.”
Hvad statens minimumskrav siger
De statslige tekniske minimumskrav er obligatoriske i staten. Andre steder er de et dansk sammenligningsgrundlag, der står med årstal. Krav 6 siger, at almindelige brugerkonti ikke må have administrative rettigheder til klienter. Software, der løfter rettighederne midlertidigt, kan tillades, hvis kun den godkendte aktivitet udføres, og rettigheden trækkes tilbage automatisk.
Det er en nyttig målestok, fordi den skelner mellem to situationer, der ofte blandes sammen. Den ene er en bruger, der står fast i den lokale administratorgruppe. Den anden er en bruger, der i et kort øjeblik får lov til at installere et bestemt program. Den første er et fund. Den anden kan være i orden, hvis rettigheden forsvinder af sig selv.
Udtrækket af gruppemedlemmer
Kommandoen Get-LocalGroupMember henter medlemmerne af en lokal gruppe på en Windows-maskine. At køre den på tværs af maskinerne og samle resultatet i én liste er praksis, og det kan gøres med de værktøjer, driften allerede bruger til at styre maskinerne. Hver linje bør have maskinens navn, medlemmet og tidspunktet.
Når listen er samlet, er det almindeligt at sortere medlemmerne i fire grupper:
- Den indbyggede lokale administrator.
- Grupper fra kataloget, som driften har lagt ind med vilje, fx en gruppe for klientadministratorer.
- Personlige brugerkonti.
- Konti, ingen kan forklare.
Gruppe 3 og 4 er dem, gennemgangen bruger tid på. En personlig konto i gruppen på én maskine kan have en forklaring. Den samme konto på mange maskiner er det, CISA advarer imod.
Passwordet til den lokale administrator
Hvordan man finder maskiner med samme lokale password uden at se passwordene, beskriver ingen af de læste kilder. Den del af kontrollen skriver vi derfor ikke om. Det, der kan kontrolleres, er om der er en mekanisme, der giver hver maskine sit eget password, og om den dækker alle maskiner.
Windows LAPS er producentens indbyggede mekanisme. Den roterer passwordet til én lokal administratorkonto pr. enhed og gemmer det i Entra ID eller Active Directory. Den er indbygget i Windows 11, Windows 10 og Windows Server 2019 og 2022 med opdateringen fra 11. april 2023 eller senere, og i Windows Server 2025.
Kontrollen er derfor en afstemning, som er praksis: listen over maskiner, hvor mekanismen har gemt et password, holdt op mod den samlede liste over maskiner. Maskiner, der står på den ene liste og ikke på den anden, er dem, der skal forklares. Servere glemmes oftere end klienter, fordi de sættes op på en anden måde.
Rækkefølgen for rettelserne
Hvilken rækkefølge rettelserne tages i, siger kilderne ikke noget om. En almindelig praksis er at starte med serverne og de maskiner, administratorerne selv bruger, fordi en konto med rettigheder dér rækker længst. Derefter følger klienterne i grupper, så supporten kan nå at opdage programmer, der holder op med at virke, når brugeren ikke længere er administrator.
Det er også praksis at aftale med supporten, hvordan en bruger fremover får installeret et program. Findes der ikke en hurtig vej, kommer brugerne tilbage i gruppen, og fundet står der igen ved næste gennemgang.
Hvad det kræver, og hvad det koster at lade være
Det kræver en måde at køre en kommando på tværs af maskinerne og samle svaret, og en ajourført liste over maskiner at afstemme mod. Rettelsen er at fjerne personlige konti fra grupperne og slå mekanismen til på de maskiner, der mangler.
Står det samme lokale password på mange maskiner, er én maskine nok til at nå de andre. Står mange brugere i den lokale administratorgruppe, holder forudsætningen for producentens baseline ikke, og meget af den øvrige hærdning kan ændres af brugeren selv.
Det skal I lade være med
- At regne med, at gruppen er tom, fordi billedet blev lavet sådan · gruppen ændrer sig, når der installeres programmer og gives support.
- At glemme serverne i afstemningen · de sættes ofte op uden for den almindelige styring.
- At lægge brugere fast i gruppen for at løse et enkelt installationsproblem · midlertidig løftning, der trækkes tilbage, er målestokkens alternativ.
Det skal gennemgangen kunne vise
- ☐ Et dateret udtræk af medlemmerne af den lokale administratorgruppe pr. maskine.
- ☐ Personlige brugerkonti i gruppen markeret og forklaret.
- ☐ En afstemning af maskiner med styret lokalt administratorpassword mod den samlede maskinliste.
- ☐ En begrundelse for hver maskine uden for mekanismen.
Kilder
- Microsoft Learn, Security baselines guide, opdateret 18. august 2025, læst 13. november 2026.
- Microsoft Learn, Windows LAPS overview, opdateret 14. september 2026, læst 13. november 2026.
- Microsoft Learn, Get-LocalGroupMember, læst 13. november 2026.
- CISA og NSA, AA23-278A Top Ten Cybersecurity Misconfigurations, 5. oktober 2023, punkt 2 og tabel 2, 6 og 9, læst 13. november 2026.
- SAMSIK, Reducer risikoen for ransomware, 2. udgave, april 2023, side 10, læst 13. november 2026.
- De tekniske minimumskrav for statslige myndigheder 2024, opdateret september 2025, krav 6, læst 13. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Tæl de maskiner, hvor mekanismen har gemt et lokalt administratorpassword, og sammenlign tallet med antallet af maskiner i jeres systemliste.
Læs også: Microsofts sikkerhedsbaselines · Klienter uden for styringen
→ Kontakt · Tlf. 70 13 63 23 · Teknisk sikkerhedsgennemgang hos Nielco IT
