使用特殊權限存取工作站

在檢閱顧問為 Contoso 產生的安全性報告後，您了解到惡意駭客主要會鎖定對於基礎結構具有高階存取權之系統管理員會定期使用的工作站。 因此，請務必確保這類工作站的安全性。

什麼是特殊權限存取工作站？

特殊權限存取工作站 (PAW) 是指可讓您用來執行管理工作的電腦，例如，管理身分識別系統、雲端服務和其他敏感性功能。 這部電腦無法存取網際網路並遭鎖定，因而只有必要的管理應用程式可執行。

此工作站應一律禁止用於網頁瀏覽、電子郵件和其他常見的使用者應用程式，且應有嚴格的應用程式控制。 您不應允許連線至無線網路或外部 USB 裝置。 PAW 應實作安全性功能，例如多重要素驗證 (MFA)。

Microsoft 建議為您的 PAW 使用 Windows 11 企業版。 這是因為 Windows 11 企業版支援在其他版本中無法使用的安全性功能。 下表將說明這些 Windows Defender 功能。

PAW 硬體設定檔

切記，系統管理員也是使用者。 這表示他們會使用電子郵件、瀏覽網頁，以及執行 Microsoft Office 之類的生產力應用程式。 正確設定的 PAW 會嚴重影響使用者在非管理工作中提高生產力的能力。

為了維護安全性，系統管理員使用者應有兩個工作站。 一個工作站是 PAW，另一個則用於不需要提高權限的日常工作。 您可以使用 PAW 硬體設定檔達成此一區隔。 Microsoft 建議使用下列其中一個硬體設定檔：

• 專用硬體。 使用者工作與系統管理工作使用的不同專用裝置。 管理員工作站必須支援信賴平台模組 (TPM) 之類的硬體安全性機制，並實作先前討論過的 Windows 10 企業版安全性功能。
• 同時使用。 可執行兩個作業系統，藉以同時執行使用者工作和系統管理工作的單一裝置；其中一個是使用者系統，另一個則是系統管理員系統。 在 VM 中執行個別的作業系統供日常工作使用，即可達此目的。

下表說明這些方法的優點和缺點。