在我的 Win 8.1 LAN 中省略 PC 密码是否构成来自外部世界的安全风险？

Question

在我的由 14 台计算机组成的 Windows 8.1 LAN 中，有几台服务器专用于非常特定的任务。（例如，“保存服务器”负责运行每日批处理脚本，它确实连接到各种客户端并将相关文件从那里复制到其存储空间。）

要启动这样一台专用机器，所需要的只是操作员远程启动相关机器（通过按下本地应用程序中的命令按钮，该应用程序通过本地家庭自动化系统提供电源）。这样，选定的机器接收电源，根据 UEFI 设置启动，并自动执行其脚本（在某些机器上，例如在“保存服务器”上，在所有完成后还包含关闭命令）。通常，这些机器每天的工作时间为 15 到 120 分钟。

为了在开机时运行批处理脚本，这些服务器没有默认用户的密码。（如果有的话，一个人需要亲自出现在机器前并输入凭据，这是不可行的。）

如果“保证”没有内部威胁，那么遗漏密码是否是一个可以从外部利用的漏洞？

毕竟，“外面的世界”首先需要打通我的Internet网关这是（强）密码保护。

（或者换句话说，谷歌等人如何处理他们的服务器群？我无法想象，所有这些机器都是单独受密码保护的。）

Answer 1

你的问题有一个缺陷，这让你立即得出结论，你的情况是正常的，大公司也有困难。

为了远程执行脚本而在开机时运行批处理作业是管理服务器的一种非常周到的方式。
大多数服务器群实际上并没有关闭他们的服务器，因为它们是虚拟机，资源有限，在不使用时共享。

即使必须快速启动服务器才能完成一些更大的工作（例如资源密集型 ETL 工作）。
然后最敏感的脚本或包将受到密码保护和加密。或者，如果脚本和批处理需要进行远程触发，也有很多的方式这样做。
最常见的方法是放入作为系统运行的计划任务。

现在对于您的主要问题，没有密码的用户是否存在安全漏洞？
是的。你刚刚在你的安全中创造了另一个漏洞。它在哪里并不重要。
如果通过社会工程发现您的服务器在没有密码的情况下与用户一起运行，并且由于一些侥幸而受到损害，那么您只需打开一个不错的附加条目。