Uzak Linux Yönetici Danışmanı - En İyi Uygulama [kapalı]

Linux Yöneticimiz olarak Hindistan'da bir danışmanla çalışıyoruz. Onu iyi tanımıyoruz ve işini yapmak için tüm sunucularımıza Root erişimi gerektiriyor (güvenlik denetimi dahil).

Herhangi bir malign aktiviteye karşı korunabilmemiz için bu tür bir iş için uzaktan danışman sağlamanın en iyi yolu nedir?

Şimdiden teşekkürler.

Yapma . Ayrıca, çok tehlike olarak konum beceriksizlik olarak kötülük ı şirketleri bu işi tipik şekilde gördüğüm kadarıyla.

Şunu söylemek isterim ki, muhtemelen Hindistan'da büyük sistem yöneticileri var, ancak birçok şirketin işleri yapma şekli korkunç.

Bir kaporta dükkanından geçiyorsanız, muhtemelen onlara büyük bir kesim görüyorsunuz ve birçoğunun çalışanlarını düzgün bir şekilde incelemesi pek olası değildir. Biriyle çalıştığım üç kişiyle konuştum ve hiçbiri teknik röportaj yapmadı.

Yani, birisini uzaktan kiralamanız gerekiyorsa, tanrı aşkına, kendinizle röportaj yapın ve işini bildiğinden emin olun. Sistem yönetimi birisine körü körüne teslim etmek için çok önemlidir

Şimdi "ineptitude" kısmını ele aldığım için,

Yönetim oldukça geniş bir ifadedir. Kök erişimi olan biri her şeyi yapabilir . Şimdi, kişisel olarak yönetici için bir hesap oluşturmayı düşünüyorum ve ona sudo aracılığıyla kendini yükseltme yeteneği vermek daha iyi bir fikirdir (çok sayıda sunucunuz varsa yapılandırma yönetim sisteminizin işlemesi gerekir). Bununla birlikte, bu bile belirli bir güvene dayanmaktadır. Hoşnutsuz bir sistem yöneticisinin yapabileceği çok fazla hasar var. Tüm şifreleriniz değiştirilsin mi? Tabii ki sonunda alabilirsiniz, ama bu önemsiz değil, ve muhtemelen tasarruf daha pahalı olacaktır.

Yani, bir yerel düşünün. Değilse, kendinizi denetlediğiniz ve doğrudan işe aldığınız birini düşünün .

Belirtildiği gibi, bunu yapma.

Kendinizi korumanın tek yolu böyle bir şey yapmaktır:

1. Danışmanın seçtiğiniz bir yapılandırma yönetim sistemini kullanmasında ısrar edin.
2. Danışman, tamamlamanız gereken eylemler için yapılandırma yönetimi bildirimleri yazacaktır.
3. Danışman tezahürleri bir test sistemi üzerinde test edecektir.
4. Hazır olduğunda, danışman yapılandırmayı bir kod deposuna gönderecektir.
5. Tüm değişiklikler, personelinizin bir üyesi veya birincisi ile kesinlikle bir ilişkisi olmayan ve onlarla iletişim kurma yolu olmayan başka bir danışman tarafından incelenir .
6. Değişiklikler kapatıldıktan sonra, siz veya personelinizin bir üyesi tarafından sunucuya uygulanır. Orijinal danışmanın hiçbir sisteminize erişimi olmamalıdır .

Açıkça görüldüğü gibi, bu çok beceriksiz ve verimsiz bir süreçtir, ancak güvenilir olmayan bir kişiden işi kabul etmekte ısrar ediyorsanız, bu işleri halletmenin bir yoludur.

Önerdiğim gibi, bilinen, güvenilir bir kişiyi işe almaktan daha iyi olursunuz.

Herhangi bir malign aktiviteye karşı korunabilmemiz için bu tür bir iş için uzaktan danışman sağlamanın en iyi yolu nedir?

Yasal açıdan: önceden gerekli özen ve sözleşmenin ihlali için kesin cezalar.

Sağlanan özgeçmişi kontrol etmeyi, eğitim transkriptlerini ve sertifika numaralarını sormayı, referanslarını kontrol edip aramayı, röportajı, belki de arka plan kontrolü veya güvenlik taraması vb.

Sonra havuç uygulayın : adil değer ödeyin, çekici işler, harika meslektaşlar, iyi çalışma koşulları ve faydalar vb. Sunun ( fıstık öderseniz maymun alırsınız. )

Ve sopa : iş / hizmet sözleşmenizin şartlarını ihlal ederseniz, avukatlarımızı size hasta edeceğiz ve sizi iflas ettireceğiz!

Ne yazık ki sınırlar ve zaman dilimleri arasında yukarıdakilerin her ikisi de giderek zorlaşmaktadır.

Birini işe almaya karar verdiğinizde:

• açık yönergeler ve politikalar, insanlar ne yapmaları ve yapmamaları gerektiğinin farkında olmalıdır.
• minimal erişim ilkesi geçerlidir, insanların (yanlışlıkla veya bilerek) yapmamaları gereken şeyleri yapmalarını zorlaştırır. Tipik sistem yöneticisi için bu genellikle tam erişim anlamına gelir, ancak örneğin bir güvenlik denetçisinin tam yönetici erişimine ihtiyacı yoktur, ancak varolan yöneticilerin adına raporunu hazırlaması için gereken bilgileri toplayan bir komut dosyası çalıştırmasını isteyebilir. Böyle bir komut dosyası önceden kolayca kontrol edilebilir.
• güven, ancak doğrulayın. Mevcut personelin yeni bir birleştiricinin çalışmasını kontrol etmesini ve her zaman olduğu gibi denetim bilgilerini toplamasını sağlamanız yeterlidir.
• vs vs.

Bu soru, müşterilerimden benim için uzaktan erişim sağlamak için genellikle ne yapmamı istediğimi detaylandırıyor, bu da sizin için bir başlangıç ​​noktası olabilir.

Kendinizi korumanın aklıma gelen, bahsetmediğim sistemik bir yöntemi var.

Linux örneklerinizi sanallaştırma hipervizöründe (VMware, Xenserver, Hyper-V vb.) VM'ler olarak barındırın.

Uzaktan yöneticiye hipervizöre yönetici erişimi VERMEYİN. Uzak yönetici yalnızca sanal makinelerin kendilerine kök erişimi elde eder.

DO Hipervizör tabanlı bir yedekleme sistemi uygulayın (Unitrends, Veeam, vSphere Data Protection, vb.)

Her Linux VM'sinin günde en az bir anlık görüntüsünü YAPIN, gerekli gördüğünüz zamanda geriye gidin.

Uzak yöneticiye yedekleme havuzlarına yazma erişimi VERMEYİN.

Bu şeyleri yaparsanız, uzak yöneticinin üzerinde denetimi olmayan her Linux örneğinin yedek anlık görüntülerine sahip olursunuz. Uzak yönetici, kasıtlı veya yanlışlıkla olsun, hinky bir şey yaparsa, olanları değerlendirmek ve muhtemelen temiz bir duruma geri dönmek için hinkeness gerçekleşmeden önce her zaman bir yedek monte edebilirsiniz.

Bu, saldırganın kök erişimine sahip olduğu bir sanal makineden potansiyel olarak monte edilebilen bir hipervizör yan kanal saldırısına karşı kanıt olmayacaktır.

Yedekleriniz zaman içinde yeterince ileri gitmezse, bu sizi korumaz.

Hipervizörünüzün ve yedekleme altyapınızın kontrolünü elinde bulunduran kişiye iyice güvenmeniz gerekir.

Bunu bulutta (AWS, Azure vb.) Yapıyorsanız, uygulama ayrıntıları farklı olacaktır, ancak genel konsept aynı olacaktır.

Özünde, sorumlulukları yalnızca güvendiğiniz kişileri işe almanın yanı sıra, birbirleriyle iş ortağı olmayan taraflar arasında bölüştürün.

Ona kendi kullanıcı hesabını ver. Sonra tam olarak neye erişmesi gerektiğini öğrenin ve sadece bu erişimi verin, ancak başka bir şey vermeyin. Örneğin, bir Apache web sunucusunu yeniden yapılandırması gerekiyorsa, ona bir ApL yapılandırma dosyalarına yazma erişimi vermek için bir ACL kullanın sudove Apache hizmetini yeniden başlatmasına izin verecek şekilde yapılandırın , ancak kök olarak başka komutları yürütmedi. Her zaman olduğu gibi, ona erişim verdiğiniz her şeyin yedeklerini tutun (bu durumda Apache yapılandırma dosyalarınız).