Под угрозой...
“Недовольный начальством системный администратор муниципалитета Сан-Франциско взял под контроль новую городскую сеть, пишет San Francisco Chronicle. Хотя компьютерщик уже задержан, сеть FiberWAN, которая обошлась Сан-Франциско в миллионы долларов, не дает доступа даже главным администраторам. Терри Чайлдс (Terry Childs), которому предъявлено сразу четыре обвинения в незаконном доступе в компьютерные системы, проработал в муниципалитете около пяти лет. В последние месяцы он получил выговор за плохое исполнение должностных обязанностей и начальник хотел его уволить. В ответ Чайлдс создал учетную запись, которая наделяла его исключительными правами доступа. Изменения в компьютерную систему Чайлдс внес 20 июня. Он сначала сообщил пароль полиции, но затем оказалось, что тот не подходит. Затем сисадмин отказался назвать пароль даже под угрозой ареста. Сотрудники муниципалитета до сих пор оценивают нанесенный Чайлдсом ущерб. В полиции опасаются, что сисадмин мог оставить лазейку для третьих лиц, чтобы те могли уничтожить сотни тысяч важных документов. В FiberWAN хранятся различного рода конфиденциальные документы, в том числе корреспонденция чиновников, городские платежные ведомости, информация правоохранительных органов и даже записи о заключенных. “
Очередное сообщение, о всемогуществе (?) системных администраторов. Однако такие случае были, есть и будут единичными, включая те случаи, о которых мы никогда не слышали. Но все же угроза существует. И если представители правопорядка, для примера, проходят регулярную проверку психологов (надеюсь в нашей стране тоже), то почему ее не проводят для сисадминов? Конечно, может для всех и не нужно, но …
Как уже писал довольно часто сисадмин испытывает те или иные стрессовые ситуации. Что будет, если он не выдержит и имеет доступ к важной информации или обеспечивающим жизнедеятельность людей системам? Не хочу равнять всех под одну гребенку, но… В состоянии аффекта можно наломать кучу дров. Проверено.
Что делать? Первое, это грамотное собеседование. За все время моей работы я провел множество собеседований, на многих присутствовал, значительную часть проходил сам… Список вопросов, которые я задаю, изменился не только количественно, но и тематически. Часть вопросов была взята в Интернете, часть подслушал у других, до каких-то дошел сам. В итоге сформировал около 20ти стандартных ключевых моментов, по которым и спрашиваю (каждый раз вопрос звучит по разному и формулировка основана на предыдущих ответах, анкете и резюме). Вопросы носят не только деловой характер. “Ты словно в КГБ набираешь”, комментировал Shadow. “Тебе за такие вопросы по тыковке не надовали?”, это уже M0zg Может так и есть. Но я хочу знать, кого именно набираю и с кем придется провести одну третью (!) часть своей жизни.
Далее. У всех бывают разные ситуации, какие-то события в жизни. Каюсь, не могу следить за всеми своими подчиненными, всем подсказать или дать совет, поделиться опытом. Не всегда в силах выслушать. Хотя стараюсь, исправляюсь, и думаю вскоре смогу больше времени уделять коллегам. И заодно буду уверен, что однажды ночью, меня не разбудить звонок системы мониторинга со словами: “У нас умерло абсолютно все”, ибо кто-то вечером перед работою поссорился со своей подружкой...
Но опыта на текущий момент увы не хватает, может кто что подскажет по теме?
| Опубликовано: 18.07.08 в Из жизни 
Калісьці ў дзяцінстве гуляўся я ў Лінух і так даведаўся пра канцэпцыю RSBAC (Rule Set Based Acess Control). Там розныя падыходы рэализуюцца: ад ACL да адміністратара бяспекі, які нават Руту можа забараніць мяняць паролі і чытаць пошту дырэктара, у той час як сам ён – АБ – толькі просты карыстальнік. У Маскве здаецца ёсць такая кантора ALT, калі яшчэ не зніклі. Дык вось яны на ўвесь свет крычалі, што iх сервер с паў пінка падтрымлівае гэны RSBAC. Такім чынам вырашаецца праблема ўсемагутнасці адміна і доступа да канфідэнцыальнай інфармацыі, якую адміну ведаць не патрэбна.
Цяпер пра выпадак з каліфарнійскім чмошнікам, які пакрыўдзіўся на кіраўніцтва і “забыў” пароль: рашэнне ёсць, а менавіта так званая “абарона часовым адрэзкам”. Гэта калі любы пароль у сістэме можна “адмяніць”, але не адразу. Спачатку працэсс адкрыцця сістэмы трэба запусціць, потым сістэма будзе перыядычна паведамляць руту і усім астатнім аўтарызаваным карыстальнікам, што нехта папрасіў адкрыць уваход. І толькі празнейкі час сапраўды адчыніць дзверы. Гэта на выпадак калі адмін раптоўна перап’е піва і забудзе пароль.
Так што можна проста падрыхтавацца да “нечаканасцяў”...
Хаця прасцей канеше пазваць спеца і ён лёгка і эфектна вырве адзін за адным адміну валаскі пад пахамі і на жопе і той сам шчыра захоча хучэй расказаць мэру сан францыска які пароль у сістэме і нават аддаць ключы ад кватэры дзе грошы ляжаць…
системы есть разные, включая возможность защиты от самого админа...
но при этом безопасность системы становится под угрозой
для себя я люблю военный вариант: двойная авторизация, где для критически опасных сервисов (действий) необходимо вводить пароль двух разных людей
Ну тады RSBAC. Нажаль на ADSL.by гэта наўрадці магчыма... Бо вянда...