На каких машинах локал-админы есть вообще? Проверь под чьими правами крутится агент, можешь также просканировать реестр и конфиги на наличие исключений
Все юзерки(
Гляну, боты пока не в сети. Правильно я понимаю, что пользовательский агент для мониторинга нужен?
Какие именно? Не совсем понял
Да, именно так. Этот агент работает от имени пользователя (user context) и отслеживает все его действия: что запускает, куда ходит в сети, какие команды выполняет. По поводу регистра то стоит искать ветки, где у вашей пользовательской группы (Authenticated Users, Users) есть права на запись. Если найдете такой ключ, который пытается запустить что-то от имени админа (например, через HKLM), это может быть вектором для эскалации.
