Quiero comenzar diciendo que no soy un administrador de sistemas de profesión, he caído en el oficio de TI en un equipo de ingenieros de instrumentación.
Mi organización ha utilizado tradicionalmente la misma contraseña en todos los sistemas (una para root, otra para usuario) y les ha funcionado bien porque somos pequeños y estamos desconectados de Internet la mayor parte del tiempo. Acabamos de conseguir una nueva instalación, han decidido mejorar la seguridad, lo que en lo que a ellos respecta significa que no hay asignación de DHCP para MAC desconocidos y contraseñas únicas para cada sistema (almacenadas en un administrador de contraseñas).
Esto me parece una solución basura. El requisito de DHCP se evita al asignar una IP estática, y la base de datos de contraseñas solo significa que tenemos que pasar por más obstáculos para hacer cualquier cosa, pero aún estamos expuestos por una única contraseña.
El entorno en el que trabajamos tiene ~10 servidores CentOS y algunas estaciones de trabajo OEM. Principalmente Windows, creo. Estamos bastante bien aislados por VLAN y una conexión a Internet muy marginal. Los técnicos de la embarcación ocasionalmente necesitan acceso sudo a cualquiera de los sistemas.
¿Es este un problema resuelto? No sé particularmente por dónde empezar. Voy a empezar a buscar claves SSH según¿Cuáles son las mejores prácticas para administrar claves SSH en un equipo?
pero si alguien puede indicarme las mejores prácticas, se lo agradecería eternamente.
Respuesta1
Es menos un problema resuelto que un proceso continuo hacia mejores prácticas. Muchas organizaciones han encontradosuficientemente buenosoluciones para sus necesidades específicas, algunas más conectadas a Internet incluso con ofertas comerciales ya preparadas.Todos ellosTodavía tengo dolor no resuelto en esta área.
La mayoría de las veces, mejoras en la fabricación deprocesomás fácil para todos los involucrados también hemos obtenido los más confiablesseguridadmejora (administración más sencilla -> configuración menos obsoleta/incorrecta -> menos superficie para uso malicioso).
Dado que su pregunta no es demasiado específica sobre restricciones operativas y objetivos mensurables, comenzaré con algunas sugerencias muy amplias:
- poner mucho esfuerzo en garantizar quecambiosa la lista "quién tiene acceso" se puede actuar apropiadamente - no importa si logra asegurarlo ahora, si no mejora fundamentalmente la forma en que ahora podría manejar las credenciales comprometidas
- Intente eliminar la mayor parte o toda la autenticación de contraseña en cualquier sistema multiusuario y, en su lugar, haga que toda la autenticación se realice desde tabletas/portátiles personales a través de una autenticación no reproducible, como claves ssh.
- Investigue cuidadosamente si alguno de sus próximos pasos hace que sea más difícil hacer las cosas de manera segura y esto empuja a las personas a adoptar procedimientos inseguros.
- Investigue cuidadosamente si sus cambios no solo afectan las operaciones diarias, sino que también complican las tareas de recuperación de emergencia.
- acceso más granular (¿todosen realidadnecesita acceso atodosistemas, o podrían subdividirse en capas o grupos?)