Хочу начать с того, что я не системный администратор по профессии, я мастер на все руки в команде инженеров-измерителей.
Моя организация традиционно использовала один и тот же пароль на всех системах (один для root, один для user), и это работало для них хорошо, потому что мы маленькие и большую часть времени отключены от Интернета. Мы только что получили новое здание, они решили повысить уровень безопасности, что, по их мнению, означает отсутствие назначения DHCP для неизвестных MAC-адресов и уникальные пароли для каждой системы (хранящиеся в менеджере паролей).
Мне это кажется никчемным решением. Требование DHCP обходит назначение статического IP-адреса, а база данных паролей означает, что нам придется преодолеть еще больше препятствий, чтобы что-то сделать, но мы все равно будем уязвимы из-за одного пароля.
В среде, в которой мы работаем, около 10 серверов CentOS и несколько рабочих станций OEM. В основном, я думаю, Windows. Мы довольно хорошо изолированы VLAN и очень слабым подключением к Интернету. Техникам на судне иногда требуется доступ sudo к любой из систем.
Это решенная проблема? Я не знаю, с чего начать. Я собираюсь начать изучать ключи SSH, как указаноКаковы наилучшие практики управления ключами SSH в команде?
но если кто-то может указать мне на передовой опыт, я буду бесконечно благодарен.
решение1
Это не столько решенная проблема, сколько продолжающийся процесс в направлении лучших практик. Многие организации обнаружили,достаточно хорошорешения для их конкретных требований, некоторые из них более подключены к Интернету, даже с готовыми коммерческими предложениями.Все онивсе еще есть неразрешенная боль в этой области.
В большинстве случаев улучшения в созданиипроцесспроще для всех участников, также получили самую надежную сетьбезопасностьулучшение (более простое управление -> меньше устаревших/неправильных конфигураций -> меньше возможностей для злонамеренного использования).
Поскольку ваш вопрос не слишком конкретен относительно операционных ограничений и измеримых целей, я начну с нескольких очень общих предложений:
- приложить много усилий для обеспечения того, чтобыизмененияв список «кто имеет доступ» можно соответствующим образом отреагировать — неважно, удастся ли вам защитить его сейчас, если вы не улучшите кардинально способ, которым вы могли бы теперь работать с скомпрометированными учетными данными
- постарайтесь отказаться от большинства или всех паролей аутентификации в любых многопользовательских системах и вместо этого проводить всю аутентификацию с персональных планшетов/ноутбуков с помощью невоспроизводимых методов аутентификации, таких как ключи SSH
- внимательно изучите, не затруднят ли ваши последующие шаги выполнение задач безопасным образом и не подтолкнут ли это людей к принятию небезопасных процедур
- внимательно изучите, не затрагивают ли ваши изменения только повседневную деятельность, но и не усложняют ли они задачи аварийного восстановления
- более детальный доступ (каждый лиДействительнонужен доступ квсесистемы или их можно подразделить на слои или группы?)