ที่ปรึกษาผู้ดูแลระบบ Linux ระยะไกล - แนวปฏิบัติที่ดีที่สุด [ปิด]

เรามีส่วนร่วมที่ปรึกษาในอินเดียในฐานะผู้ดูแลระบบ Linux ของเรา เราไม่รู้จักเขาดีและเขาต้องการการเข้าถึงรูทไปยังเซิร์ฟเวอร์ทั้งหมดของเราเพื่อทำงานของเขา (รวมถึงการตรวจสอบความปลอดภัย)

อะไรคือวิธีปฏิบัติที่ดีที่สุดในการเปิดใช้ที่ปรึกษาระยะไกลสำหรับงานดังกล่าวซึ่งเราได้รับการคุ้มครองจากกิจกรรมที่ร้ายกาจ

ขอบคุณล่วงหน้า.

อย่า นอกจากนี้คุณกำลังตกอยู่ในอันตรายของความไร้ความสามารถมากพอ ๆกับความอาฆาตพยาบาทจากสิ่งที่ฉันเคยเห็นจากวิธีการทั่วไปของ บริษัท ที่จัดการสิ่งนี้

ฉันอยากจะบอกว่าอาจมีผู้ดูแลระบบที่ดีในอินเดีย แต่วิธีที่หลาย ๆบริษัท ทำสิ่งต่าง ๆ น่ากลัว

หากคุณกำลังจะไปร้านขายของร่างกายคุณก็จะเห็นว่ามีบาดแผลค่อนข้างใหญ่ไปหาพวกเขาและพวกเขาหลายคนไม่น่าจะตรวจพนักงานของพวกเขาอย่างเหมาะสม ฉันได้พูดคุยกับสามคนหนึ่งในนั้นที่ฉันทำงานให้และไม่ได้สัมภาษณ์ทางเทคนิคเลย

ดังนั้นถ้าคุณต้องจ้างใครบางคนจากระยะไกลเพื่อประโยชน์ของพระเจ้าสัมภาษณ์เขาด้วยตัวเองและให้แน่ใจว่าเขารู้งานของเขา การบริหารระบบนั้นสำคัญเกินกว่าที่จะมอบให้กับใครบางคนอย่างสุ่มสี่สุ่มห้า

ตอนนี้ฉันจัดการส่วนที่ "ไร้ความสามารถ" แล้ว

การบริหารเป็นวลีที่ค่อนข้างกว้าง และคนที่มีการเข้าถึงรากสามารถทำอะไร ตอนนี้ส่วนตัวฉันคิดว่าการสร้างบัญชีสำหรับผู้ดูแลระบบและให้เขาสามารถยกระดับตัวเองผ่าน sudo เป็นความคิดที่ดีกว่า (ซึ่งระบบการจัดการการกำหนดค่าของคุณควรจัดการหากคุณมีเซิร์ฟเวอร์จำนวนมาก) ที่กล่าวว่าแม้จะขึ้นอยู่กับจำนวนของความไว้วางใจ มีเรื่องราวมากมายที่เกิดขึ้นจากความเสียหายที่แท้จริงที่ผู้ดูแลระบบไม่สามารถทำได้ เปลี่ยนรหัสผ่านทั้งหมดของคุณ? แน่นอนว่าคุณสามารถเข้ามาได้ในที่สุด แต่ก็ไม่สำคัญและอาจมีค่าใช้จ่ายมากกว่าที่คุณประหยัด

ดังนั้นให้พิจารณาท้องถิ่น ถ้าไม่ได้พิจารณาคนที่คุณได้รับการตรวจสอบตัวเองและได้รับการว่าจ้างโดยตรง

ตามที่ได้กล่าวมาอย่าทำเช่นนี้

วิธีเดียวที่คุณจะสามารถป้องกันตัวเองได้คือทำสิ่งนี้:

1. ยืนยันว่าที่ปรึกษาใช้ระบบจัดการการกำหนดค่าที่คุณเลือก
2. ที่ปรึกษาจะเขียนการจัดการการกำหนดค่าสำหรับการดำเนินการที่คุณต้องการ
3. ที่ปรึกษาจะทดสอบรายการในระบบทดสอบ
4. เมื่อพร้อมแล้วที่ปรึกษาจะส่งโครงร่างไปยังที่เก็บรหัส
5. การเปลี่ยนแปลงทั้งหมดจะได้รับการตรวจสอบโดยสมาชิกของพนักงานของคุณหรือที่ปรึกษาอื่นที่ไม่มีความเกี่ยวข้องกับเรื่องแรกอย่างแน่นอนและไม่มีวิธีติดต่อกับพวกเขา
6. เมื่อการเปลี่ยนแปลงถูกลงชื่อออกคุณจะถูกนำไปใช้กับเซิร์ฟเวอร์โดยคุณหรือสมาชิกของพนักงานของคุณ ที่ปรึกษาดั้งเดิมไม่ควรเข้าถึงระบบใด ๆ ของคุณ

อย่างที่ควรจะชัดเจนนี่เป็นกระบวนการที่เงอะงะและไร้ประสิทธิภาพ แต่ถ้าคุณยืนยันในการยอมรับงานจากบุคคลที่ไม่น่าเชื่อถือนี่เป็นวิธีหนึ่งในการจัดการกับสิ่งต่าง ๆ

ตามที่ฉันแนะนำคุณจะดีกว่าที่จะจ้างคนที่รู้จักและเชื่อถือได้

อะไรคือวิธีปฏิบัติที่ดีที่สุดในการเปิดใช้ที่ปรึกษาระยะไกลสำหรับงานดังกล่าวซึ่งเราได้รับการคุ้มครองจากกิจกรรมที่ร้ายกาจ

จากมุมมองทางกฎหมาย: ความขยันเนื่องจากก่อนและบทลงโทษที่เข้มงวดสำหรับการละเมิดสัญญา

คุณเริ่มต้นด้วยวิธีการจ้างงานที่ดีตามปกติซึ่งจะมีผลบังคับใช้เมื่อมีการจ้างพนักงานในสถานที่ (และ / หรือผู้ให้บริการ) ซึ่งรวมถึงการตรวจสอบประวัติผู้สมัครงานที่ให้ไว้ให้ขอใบรับรองผลการศึกษาและหมายเลขรับรองตรวจสอบและโทรหาบุคคลอ้างอิง ตรวจสอบประวัติหรือตรวจสอบความปลอดภัย ฯลฯ ฯลฯ

จากนั้นใช้แครอท : ชำระราคายุติธรรมเสนองานที่น่าสนใจเพื่อนร่วมงานที่น่าทึ่งสภาพการทำงานที่ดีและผลประโยชน์อื่น ๆ ( ถ้าคุณจ่ายถั่วลิสงคุณจะได้รับลิง )

และติด : ละเมิดข้อกำหนดของสัญญาการจ้างงาน / บริการของคุณและเราจะป่วยทนายความของเรากับคุณและทำให้คุณล้มละลาย!

น่าเสียดายที่ทั้งสองข้างต้นกลายเป็นเรื่องยากมากขึ้นเมื่อข้ามพรมแดนและเขตเวลา

เมื่อคุณตัดสินใจจ้างคน:

• แนวทางและนโยบายที่ชัดเจนผู้คนควรตระหนักถึงสิ่งที่ควรและไม่ควรทำ
• ใช้หลักการเข้าถึงขั้นต่ำทำให้เป็นเรื่องยากสำหรับคนที่จะทำสิ่งที่ไม่ควร สำหรับผู้ดูแลระบบทั่วไปมักจะยังคงหมายถึงการเข้าถึงแบบเต็ม แต่ผู้ตรวจสอบความปลอดภัยไม่ควรต้องการการเข้าถึงแบบเต็มของผู้ดูแลระบบ แต่สามารถขอให้ผู้ดูแลระบบที่มีอยู่เรียกใช้สคริปต์ในนามของเขาที่รวบรวมรายละเอียดที่เขาต้องการ สคริปต์ดังกล่าวสามารถตรวจสอบได้ง่ายล่วงหน้า
• เชื่อถือ แต่ยืนยัน เพียงแค่ให้พนักงานที่มีอยู่ตรวจสอบการทำงานของผู้เข้าร่วมใหม่และรวบรวมข้อมูลการตรวจสอบอยู่เสมอ
• ฯลฯ

คำถามนี้ให้รายละเอียดสิ่งที่ฉันมักจะขอให้ลูกค้าของฉันทำเพื่อสร้างการเข้าถึงระยะไกลสำหรับฉันซึ่งอาจเป็นจุดเริ่มต้นสำหรับคุณเช่นกัน

มีวิธีหนึ่งที่เป็นระบบในการปกป้องตัวคุณเองที่อยู่ในใจซึ่งฉันไม่เคยเห็นมาก่อน

โฮสต์อินสแตนซ์ Linux ของคุณในรูปของ VM บน virtualization hypervisor (VMware, Xenserver, Hyper-V, ฯลฯ )

อย่าให้สิทธิ์การเข้าถึงระดับผู้ดูแลระบบแก่ผู้ดูแลระบบจากระยะไกลในไฮเปอร์ไวเซอร์ ผู้ดูแลระบบระยะไกลจะได้รับการเข้าถึงรูทของ VM เท่านั้น

ใช้ระบบสำรองข้อมูลที่ใช้ไฮเปอร์ไวเซอร์ (Unitrends, Veeam, vSphere Data Protection, ฯลฯ )

ทำอย่างน้อยหนึ่ง snapshot ต่อวันของแต่ละ Linux VM ย้อนกลับไปในเวลาที่คุณรู้สึกว่าจำเป็น

อย่าให้ผู้ดูแลระบบระยะไกลเข้าถึงการเขียนไปยังที่เก็บข้อมูลสำรอง

หากคุณทำสิ่งเหล่านี้คุณจะมีสแน็ปช็อตสำรองของอินสแตนซ์ Linux แต่ละตัวที่ผู้ดูแลระบบระยะไกลไม่สามารถควบคุมได้ หากผู้ดูแลระบบระยะไกลทำอะไรที่ไม่ดีไม่ว่าจะโดยตั้งใจหรือไม่ตั้งใจคุณสามารถสำรองข้อมูลได้เสมอก่อนที่จะเกิดเหตุการณืเพื่อประเมินสิ่งที่เกิดขึ้นและอาจฟื้นตัวเป็นสถานะที่สะอาด

สิ่งนี้จะไม่ได้รับการพิสูจน์จากการโจมตีช่องทางด้านไฮเปอร์ไวเซอร์ซึ่งอาจถูกติดตั้งจากภายใน VM ที่ผู้โจมตีสามารถเข้าถึงรูทได้

หากการสำรองข้อมูลของคุณไม่ย้อนเวลากลับไปสิ่งนี้จะไม่ป้องกันคุณ

คุณต้องเชื่อใจผู้ที่อยู่ภายใต้การควบคุมของไฮเปอร์ไวเซอร์และโครงสร้างพื้นฐานการสำรองข้อมูลอย่างละเอียด

หากคุณทำสิ่งนี้ในคลาวด์ (AWS, Azure ฯลฯ ) รายละเอียดการใช้งานจะแตกต่างกัน แต่แนวคิดทั่วไปจะเหมือนกัน

โดยพื้นฐานแล้วแบ่งความรับผิดชอบระหว่างฝ่ายที่ไม่ได้เป็นหุ้นส่วนทางธุรกิจด้วยนอกเหนือจากการว่าจ้างคนที่คุณไว้วางใจเท่านั้น

ให้บัญชีผู้ใช้ของเขากับเขา จากนั้นค้นหาสิ่งที่เขาต้องการเข้าถึงและให้สิทธิ์การเข้าถึงนั้น แต่ไม่มีอะไรอื่น ตัวอย่างเช่นหากเขาต้องการกำหนดค่าเว็บเซิร์ฟเวอร์ Apache ใหม่ให้ใช้ ACL เพื่อให้เขาสามารถเขียนไฟล์การกำหนดค่า Apache และกำหนดค่าsudoเพื่อให้เขาเริ่มบริการ Apache ได้ แต่ไม่ต้องรันคำสั่งอื่นใด ๆ ในฐานะรูท เช่นเคยให้สำรองข้อมูลทุกอย่างที่คุณให้เขาเข้าถึงได้ (ในกรณีนี้คือไฟล์กำหนดค่า Apache ของคุณ)