Hou er rekening mee dat gebruikers die lokale admin rechten op domain PC's (en dus ook eventuele malware die zij starten) probleemloos cached credentials van andere gebruikers op hun PC kunnen uitlezen en die kunnen misbruiken om zich op het netwerk voor te doen als die gebruikers. Local admin rechten zijn nooit een goed idee Nou local admin rechten heb je wel nodig voor bepaalde zaken maar je moet natuurlijk niet als een local admin gaan zitten werken. Wat wel heel belangrijk is: je moet nooit als een domain admin inloggen op een werkstation. Daarom moet je ook de werkstation admin rechten niet aan de domain admin geven, maar een apart account aanmaken voor local admin op de werkstations (dwz maak een groep die local admin rechten heeft en zet daar een of meer specifieke beheer gebruikers in), en tevens moet je verbieden dat domain admins inloggen op werkstations. HELAAS als je dit doet met de daarvoor bedoelde policy dan wordt dit pas gedetecteerd en de gebruiker wordt weer uitgelogd NADAT de credentials ...