Zuerst einmal: Ich bin kein gelernter Systemadministrator, sondern habe in einem Team von Messtechnikern die Rolle des IT-Alleskönners angenommen.
Meine Organisation hat bisher für alle Systeme dasselbe Passwort verwendet (eines für Root, eines für Benutzer) und das hat für sie gut funktioniert, weil wir klein sind und die meiste Zeit keinen Internetzugang haben. Wir haben gerade eine neue Einrichtung bekommen und sie haben beschlossen, die Sicherheit zu erhöhen – was für sie bedeutet, dass es keine DHCP-Zuweisung für unbekannte MACs gibt und dass für jedes System eindeutige Passwörter (in einem Passwortmanager gespeichert) gelten.
Das klingt für mich nach einer bescheuerten Lösung. Die DHCP-Anforderung wird durch die Zuweisung einer statischen IP umgangen, und eine Passwortdatenbank bedeutet nur, dass wir mehr Hürden überwinden müssen, um irgendetwas zu tun, aber dennoch durch ein einziges Passwort gefährdet sind.
Die Umgebung, in der wir arbeiten, besteht aus ca. 10 CentOS-Servern und einer Handvoll OEM-Workstations. Meistens Windows, glaube ich. Wir sind durch VLANs und eine sehr schwache Internetverbindung ziemlich gut isoliert. Techniker auf dem Schiff benötigen gelegentlich Sudo-Zugriff auf eines der Systeme.
Ist das ein gelöstes Problem? Ich weiß nicht genau, wo ich anfangen soll. Ich werde anfangen, mir SSH-Schlüssel anzusehen, wie inWas sind Best Practices für die Verwaltung von SSH-Schlüsseln in einem Team?
aber wenn mir jemand die beste Vorgehensweise zeigen könnte, wäre ich ewig dankbar.
Antwort1
Es handelt sich weniger um ein gelöstes Problem als vielmehr um einen laufenden Prozess hin zu besseren Praktiken. Viele Organisationen haben festgestellt,gut genugLösungen für ihre spezifischen Anforderungen, einige mit Internetanbindung sogar mit vorgefertigten kommerziellen Angeboten.Alle von ihnenhabe in diesem Bereich immer noch ungelöste Schmerzen.
Meistens Verbesserungen bei der Herstellung derVerfahreneinfacher für alle Beteiligten haben auch die zuverlässigstenSicherheitVerbesserung (einfachere Verwaltung -> weniger veraltete/falsche Konfiguration -> weniger Angriffsfläche für böswillige Nutzung).
Da Ihre Frage nicht allzu spezifisch auf betriebliche Einschränkungen und messbare Ziele eingeht, beginne ich mit einigen sehr allgemeinen Vorschlägen:
- große Anstrengungen unternommen, um sicherzustellen,Änderungenauf die Liste „Wer hat Zugriff“ angemessen reagiert werden kann – es spielt keine Rolle, ob Sie es jetzt schaffen, sie zu sichern, wenn Sie die Art und Weise, wie Sie jetzt mit kompromittierten Anmeldeinformationen umgehen, nicht grundlegend verbessern
- Versuchen Sie, die meisten oder alle Passwortauthentifizierungen auf Mehrbenutzersystemen abzuschaffen und stattdessen die gesamte Authentifizierung von persönlichen Tablets/Laptops über nicht wiederholbare Authentifizierungen wie SSH-Schlüssel durchzuführen.
- Untersuchen Sie sorgfältig, ob Ihre nächsten Schritte es schwieriger machen, Dinge auf sichere Weise zu tun, und dies die Leute dazu verleitet, unsichere Verfahren anzuwenden
- Untersuchen Sie sorgfältig, ob Ihre Änderungen nicht nur den täglichen Betrieb beeinträchtigen, sondern auch Notfallwiederherstellungsaufgaben erschweren
- detaillierterer Zugriff (hat jederWirklichbenötigen Zugang zualleSysteme, oder könnten sie in Schichten oder Gruppen unterteilt werden?)