Lokale Admin Konten mit MFA absichern

Danke schonmal für eure Antworten!

Ich gehe von einem Windows Server 2022 aus. Anmeldung per RDP, da der Server in einem verschlossenen Raum und Schrank steht. Da der dahinterliegende User aber unabhängig von Login Verfahren ist, also Konsole oder Remote, hab ich das mal außer Acht gelassen.

Also der Gedanke ist folgender. Ich gehe von einem Ransomware Angriff aus. Ein Angreifer schafft es irgendwie in mein Netz, durch Klick eines Users auf einen Link, Email Anhang, was auch immer. Das erste, was ich als Hacker/Erpresser tun würde wenn ich "drin bin" wäre, zu versuchen das Backup zu zerstören. Aus dem Grund ist mein Backup Server nicht an das AD gebunden, sondern hat eben lokale Admins mit komplexem Passwort. Das ist meines Wissens nach eine Empfehlung von Veeam. Ich finde das nur gerade nicht auf die Schnelle.
Nun möchte ich eben genau diesen Admin User zusätzlich noch mit einem zweiten Faktor absichern. Sollte also irgendwie (z.B. Keylogger o.ä.) das Kennwort dieses Admin in falsche Hände kommen, fehlt immer noch der zweite Faktor.
Ein Freund von mir hat in seinem Konstruktionsbüro aktuell einen Ransomware Befall. Und das erste was bei dem Angriff zerstört wurde, war eben das Backup. Deswegen möchte ich das so gut wie möglich absichern.

Yubico ist auf jedenfall schonmal ein guter Hinweis. Das hatte ich tatsächlich vor einigen Jahren mal getestet. Wir loggen uns aktuell sowieso mit FIDO2 Sticks an den PCs ein. Von daher wäre die Hardware nicht das Problem. Das kann ich nochmal angehen.

Rohos hab ich vorhin per Google gefunden.

Erfahrungsgemäß tut das nur am Anfang weh. Wie geschrieben setzen wir MFA auf allen PCs ein. Das (komplexe) Windows Passwort muss man so oder so eingeben. Und danach noch eine PIN + FIDO2 Key drücken ist auch kein Aufwand mehr. Oder, wenn Push eingerichtet, klicke ich auf dem Smartphone nochmal nen Button. Das funktioniert beides auch im Außendienst auf Surface Geräten super.
Vor allem sind die FIDO2 Key am Schlüsselbund des Users. Verlässt er den Raum / Firma, nimmt er seinen Schlüssel mit und der PC ist damit gleich gesperrt.

Ich sichere mit Veeam VMs vom vCenter. Dort gibt es einen (lokalen) User mit einem sehr langen und komplexen Kennwort. Das muss man dann auch nirgends eingeben. Und dieser User hat natürlich auch nur die Berechtigungen, die er auch tatsächlich braucht...
Mir geht es um die User, die sich interaktiv an dem Server anmelden müssen.

Nein, aber was bleibt ihnen anderes übrig?

Ja, absolut richtig. Da muss schon viel passieren, bis man auf den Backup Server kommt. Da ich mir der Komplexität des Ganzen bewusst bin, möchte ich es eben auch bestmöglich absichern. Und ein zweiter Faktor tut mir nicht weh.

Das ich ein Admin Tier Modell mit PAWs einsetze ist obligatorisch. Auch LAPS und umbenannter lokaler "Administrator" ist selbstverständlich. Wie auch viele weitere Maßnahmen, die zur Sicherheit beitragen. Ich mach den Job ja auch schon ein paar Tage. Und einen Admin der alles darf und ein reines Antivirus auf den PCs reicht eben einfach nicht mehr aus. Das war vor 20 Jahren noch so. Administration ist unbequem geworden. Das ist einfach so.

Wie gesagt, in dem Thread geht es mir rein um die Absicherung der lokalen Admins auf dem Backup Server.

Ich eben schon hin und wieder. Sei es für Windows Updates / Server Reboot oder Veeam Updates oder neue Tapes in den Media Pool zu schieben. Klar könnte man die Konsole auch z.B. auf eine PAW packen. Aber auf der PAW will ich auch wieder so wenig wie möglich Software haben.

Und das finde ich Unsinn. Welcher Komfort geht denn flöten? Durch Eingabe einer 6 stelligen Zahl nach einem Windows Passwort? Und nur der Schwenk auf Unix Derivat bringt auch Null,Null mehr an Sicherheit.

Ja, genau richtig! Damit kenne ich mich aus. Das mache ich seit Windows NT 3.5. Schuster, bleib bei deinen Leisten!

Ich hab auch 4 Ubuntu Server, so ist das nicht. Aber auch die wollen richtig (!!!) administriert und vor allem abgesichert werden. Deswegen sage ich ja, einfach nur Linux statt Windows einzusetzen bringt erstmal gar nichts.

Cool, das wusste ich auch nicht. Schau ich mir gleich mal an! Danke auch dafür!

Danke!!! Ich wollte das aus Respekt so nicht kommentieren