Gerçekten, gerçekten, gerçekten zor. Çok eksiksiz bir denetim gerektiriyor. Yaşlı bir kişinin ardında bir şey bıraktığından eminseniz, patlayacak ya da yeniden işe almaları gerekecek çünkü yangın çıkaran tek kişi onlardı. düşmanca parti. Bir grup bilgisayar korsanı gelip bir şeyler çalmış gibi davranın ve onların karmaşasından sonra temizlemelisiniz. Çünkü olan bu.
- Belirli bir varlık ile ilişkilendirildiğinden emin olmak için her sistemdeki her hesabı denetleyin.
- Sistemlerle ilişkili görünen ancak hiç kimsenin hesaba katamayacağı hesaplar güvensizdir.
- Herhangi bir şeyle ilişkili olmayan hesapların temizlenmesi gerekir (bunun yine de yapılması gerekir, ancak bu durumda özellikle önemlidir)
- Muhtemelen temasa geçebilecekleri tüm şifreleri değiştiriniz.
- Bu, yardımcı hesaplar için gerçek bir sorun olabilir çünkü bu şifreler bir şeylere katı kodlanma eğilimindedir.
- Son kullanıcı çağrılarına cevap veren bir yardım masası türü olduysa, yardım ettikleri kişinin şifresine sahip olduklarını varsayalım.
- Active Directory'de Kurumsal Yönetici veya Etki Alanı Yöneticisi varsa, ayrılmadan önce şifre karmalarının bir kopyasını aldıklarını varsayalım. Bunlar o kadar hızlı bir şekilde kırılabilir ki, şirket genelinde bir şifre değişikliğinin birkaç gün içinde zorlanması gerekecek.
- Herhangi bir * nix kutuya root erişimi varsa, şifre karmaları ile yürüdüklerini varsayalım.
- Anahtarlarının temizlendiğinden emin olmak için tüm açık anahtar SSH anahtar kullanımlarını gözden geçirin ve açıkken herhangi bir özel anahtarın açığa çıkıp çıkmadığını denetleyin.
- Herhangi bir telekom donanımına erişimi varsa, yönlendirici / anahtar / ağ geçidi / PBX şifrelerini değiştirin. Bu, önemli kesintileri içerebileceği için gerçekten çok büyük bir acı olabilir.
- Çevre güvenlik düzenlemelerinizi tamamen denetleyin.
- Tüm güvenlik duvarı deliklerinin bilinen yetkili cihazlara ve bağlantı noktalarına göre izlenmesini sağlayın.
- Tüm uzaktan erişim yöntemlerinin (VPN, SSH, BlackBerry, ActiveSync, Citrix, SMTP, IMAP, WebMail, ne olursa olsun), üzerinde ilave kimlik doğrulaması bulunmadığından emin olun ve yetkisiz erişim yöntemleri için bunları tamamen gözden geçirin.
- Uzak WAN bağlantılarının tamamen çalışan insanlara izini sürdüğünden emin olun ve doğrulayın. Özellikle kablosuz bağlantılar. Bir şirket tarafından ödenen hücre modemi veya akıllı telefon ile çıkmalarını istemiyorsunuz. Doğru cihaza sahip olduklarından emin olmak için bu tür kullanıcılarla iletişime geçin.
- Dahili ayrıcalıklı erişim düzenlemelerini tamamen denetleyin. Bunlar, genel kullanıcıların sahip olmadığı sunuculara SSH / VNC / RDP / DRAC / iLO / IMPI erişimi veya bordro gibi hassas sistemlere erişim gibi şeylerdir.
- Kişilerin doğru olduğundan emin olmak için tüm dış satıcılarla ve servis sağlayıcılarla çalışın.
- Tüm irtibat ve servis listelerinden çıkarılmalarını sağlayın. Bu, herhangi bir ayrılıştan sonra da yapılmalıdır, ancak şimdi çok önemlidir.
- Tüm kişileri doğrulamak meşru ve doğru iletişim bilgilerine sahip, bu kimliğe bürünebilecek hayaletleri bulmaktır.
- Mantık bombalarını avlamaya başla.
- Tüm otomasyonları (görev zamanlayıcıları, cron işleri, UPS çağrı listelerini veya programda çalışan ya da tetiklenen olayları) kötü belirtileri açısından kontrol edin. "Hepsi" derken hepsini kastediyorum. Her crontab'ı kontrol et. Problarınız dahil, izleme sisteminizde her otomatik işlemi kontrol edin. Her bir Windows Görev Zamanlayıcı'yı kontrol edin; iş istasyonları bile. Hükümet için son derece hassas bir alanda çalışmadığınız sürece "hepsini" karşılayamazsınız, elinizden geldiğince yapın.
- Olması gerektiği gibi olduklarından emin olmak için her sunucudaki anahtar sistem ikili dosyalarını doğrulayın. Bu, özellikle Windows'ta çok zordur ve bir defalık sistemlerde geriye dönük olarak yapmak neredeyse imkansızdır.
- Rootkit'leri aramaya başlayın. Tanım olarak bulmak zor, ama bunun için tarayıcılar var.
En azından kolay değil, uzaktan bile kapanmıyor. Tüm bunların masraflarını haklı çıkarmak, şimdiki yöneticinin aslında kötü olduğuna dair kesin bir kanıt olmadan gerçekten zor olabilir. Yukarıdakilerin tamamı, bu işlerin bir kısmını yapmak için güvenlik danışmanlarının işe alınmasını gerektirecek şirket varlıklarıyla bile mümkün değildir.
Gerçek bir kötülük tespit edilirse, özellikle de kötülük bir tür yazılımdaysa, sorunun kapsamını belirlemek için eğitimli güvenlik uzmanları en iyisidir. Bu aynı zamanda bir ceza davası açılmaya başlayabileceği noktadır ve gerçekten delilleri kullanma konusunda eğitilmiş kişilerin bu analizi yapmasını istersiniz.
Ama, gerçekten, ne kadar ileri gitmen gerekiyor? Risk yönetiminin devreye girdiği yer burasıdır . Basitçe, bu beklenen riski kayba karşı dengeleme yöntemidir. Sysadmins bunu, hangi saha dışı yere yedekleme yapmak istediğimize karar verdiğimizde yapar; bölge dışı veri merkezlerine karşı banka kasası. Bu listenin ne kadarının gerekli olduğunu bulmak, risk yönetimi konusunda bir alıştırmadır.
Bu durumda değerlendirme birkaç şeyle başlayacaktır:
- Ayrılan kişinin beklenen yetenek seviyesi
- Ayrılanların erişimi
- Kötülüğün beklentisi
- Herhangi bir kötülüğün potansiyel hasarı
- Önceden tespit edilmiş bir kötülük ile vs arasında işlenen kötülüğü rapor etmek için yasal şartlar. Genel olarak eskiyi bildirmek zorundasınız, ancak daha sonra değil.
Yukarıdaki tavşan deliğinin ne kadar altına inileceği kararı bu soruların cevaplarına bağlı olacaktır. Kötülük beklentisinin çok az olduğu rutin idareciler için tam sirk gerekli değildir; Yönetici düzeyinde şifreleri değiştirmek ve harici bakan SSH ana bilgisayarlarını yeniden anahtarlamak muhtemelen yeterlidir. Yine kurumsal risk yönetimi güvenlik pozisyonu bunu belirlemektedir.
Sebep nedeniyle feshedilen veya kötülükleri normal ayrılmalarından sonra kesilen yöneticiler için sirk daha çok ihtiyaç duyulur. En kötü senaryo, pozisyonlarının 2 hafta içinde gereksiz hale getirileceği konusunda bilgilendirildiği paranoyak bir BOFH tipidir; Bu gibi durumlarda Kyle'ın cömert bir kıdem tazminatı paketi fikri her türlü sorunu azaltabilir. Paranoyaklar bile, 4 aylık maaşları içeren bir çek geldikten sonra birçok günahı affedebilir. Bu kontrol muhtemelen kötülüklerini ortadan kaldırmak için gereken güvenlik danışmanlarının maliyetinden daha düşük maliyetli olacaktır.
Fakat nihayetinde, kötülüğün yapılmasının, gerçekte yapılan herhangi bir kötülüğün potansiyel maliyetine karşı olup olmadığına karar vermenin maliyetidir.