Шаги, которые нужно предпринять, чтобы защититься от "немыслимого"

Создайте процедуру, в которой каждый раз при значительном изменении пароля (например, пароль восстановления на контроллере домена, например, пароль для исходной учетной записи администратора в первом домене леса (который должен быть в группе "Администраторы предприятия") или т. П. что они дважды записывают учетную запись и пароль. И эти комбинации учетная запись / пароль немедленно запечатываются в конверт и помечаются соответствующим образом. Один конверт остается на месте в безопасном месте (например, в сейфе). Другой защищен везде, где вы находитесь вне офиса. ленты / софт есть. В таком случае у вас есть восстановление всех критических паролей.

Все остальные упоминали о необходимости физического написания паролей и их хранения в надежном месте. Я упомяну кое-что не менее важное: убедитесь, что пароли разборчивы!!! Нет ничего хуже, чем просматривать журнал паролей для аварийного восстановления и неспособность определить разницу между нулями, буквой О, строчными буквами и т. Д., Потому что у вашего ныне покойного / лишенного права пользования / отчужденного SysAdmin есть почерк штатного медицинского работника. профессор. Даже "красивый" почерк может нести неясности в различных символах. Если пароли являются достаточно сложными, эти двусмысленности могут привести к очень долгим ночам угадывания пароля ИЛИ дать вам причину узнать, как настроить Каина и Авеля для грубого форсирования системы с помощью пароля, используя термины регулярных выражений.

Например, я написал бы стрелки, указывающие на имя пользователя, и сказал бы: "Для всех вас, администраторов Windows - это имя пользователя на самом деле чувствительно к регистру!!" или "Это 12-я буква английского алфавита, или буква"l"произносится как"ell ". "". Да, я такой параноик.

Да, у меня ОКР.

Нет, я не принимаю лекарства. знак равно

Кроме того, если вы параноики по поводу безопасности - разделите пароль. Передайте, скажем, одну треть пароля генеральному директору и менеджеру, еще одну треть - техническому директору и другому менеджеру, а последнюю треть - ИТ-директору и менеджеру. Таким образом, по крайней мере три человека должны согласиться, прежде чем ваш драгоценный пароль может быть восстановлен, и никто не сможет вас обмануть (если они будут уволены или что-то в этом роде).

Я храню все пароли в PasswordSafe, а программа и база данных хранятся на сервере, причем доступ предоставляется только тем старшим менеджерам, которые должны иметь доступ в соответствии с требованиями компании. Содержимое базы данных также экспортируется в документ, который затем распечатывается с использованием шрифта, облегчающего распознавание этих неоднозначных символов, и печатная копия хранится вне сайта в безопасном месте. Никогда не полагайтесь на почерк для такого рода вещей.

Помимо наличия какого-либо списка защищенных паролей, документируйте процесс получения доступа к системе, когда пароль не известен... физический доступ, принудительное изменение пароля, "режим обслуживания" и т. Д.

Каким бы ни был метод для данной системы, стоит иметь этот известный процесс с полным пониманием того, что получает этот доступ (любое время простоя - влияние принудительного изменения пароля на систему?).

Мы вводим пароли и печатаем их с помощью шрифта консоли или OCR. После проверки документ закрывается без сохранения. Затем пароли запечатываются в конверт и хранятся в сейфе финансового директора всех мест. Несколько регулярно технический директор и финансовый директор открывают сейф, проверяют, что он все еще запечатан, и заставляют администраторов делать новые конверты.

Отдельно технический директор поддерживает резервные учетные записи администраторов, пароли которых хранятся вне сайта вместе с лентами резервных копий.

Мы не совсем поняли, что делать при смене пароля, потому что есть службы, которые не запускаются при смене пароля администратора - но это случается достаточно редко, чтобы это не было слишком сложным делом.

Трюк с конвертами действительно пригодился, когда у самого старшего сисадмина развилось неизлечимое заболевание, и он прошел до того, как полный круг обязанностей был завершен. К сожалению, с ним знание некоторых кабельных трасс было безвозвратно утеряно, и у нас есть проблемы с этим по прошествии многих лет спустя.

В качестве отказоустойчивой, чтобы иметь возможность войти в систему с учетной записью администратора домена в случае исчезновения ваших системных администраторов, создать специальную учетную запись пользователя и делегировать возможность сброса \ изменения паролей для этой учетной записи. Дайте это имя пользователя и пароль доверенному лицу, такому как ваш начальник, с инструкциями о том, как и когда его использовать. Если ваш босс может изменить пароль администратора домена в случае чрезвычайной ситуации, то вы на полпути к восстановлению контроля над вашей сетью.

Возможно, вам также понадобится создать собственную консоль MMC, но ее можно сохранить в защищенном сетевом ресурсе.

Другой вариант - настроить учетную запись на серверах с привилегиями root и разрешить доступ к этой учетной записи только через ключ ssh. Храните закрытый ключ только на флешке и надежно храните.

Если невероятное происходит, вы можете войти через эту учетную запись / ключ и изменить пароли.

Пароли не проблема. Любой входящий замещающий системный администратор должен доказать свое мастерство, зная, как восстановить учетную запись с поддержкой root на каждом сервере. Конечно, это требует доступа к физическим серверам, но это все равно немыслимо. Со мной случилось так, что ИТ-специалисту потребовалась учетная запись администратора для сервера, который был неисправен - я просто сказал ему: "Вам нужно будет установить экран и клавиатуру на сервере и создать новую учетную запись для себя", - потому что я не был желающих дать этому человеку с неизвестными способностями пароль.

Я не хочу думать, какой беспорядок может вызвать некомпетентный человек, если ему даны все пароли администратора.

Более важно документировать архитектуру системы. Включая URL-адреса и IP-адреса. И какие регулярные процедуры должны соблюдаться для поддержания сети. Такая документация должна храниться в безопасности - но безопасность менее важна, чем для паролей.