Ich bin zur Zeit der Ausführung eines Unix-Audit & hätte gerne ein paar Leitlinien für beste Praktiken für die Verwaltung der Benutzer "root"-Zugang.

Die Organisation ist klein, mit einem IT-Team von ca. 25.

Geben Sie das Passwort nur für diejenigen, denen Sie vertrauen. Protokollierung der Aktionen, die root lesbar ist für alle Benutzer ist auch gut aus.

Ich habe noch nie besten Praktiken umgesetzt werden. Aber in einer idealen Welt ... Der root-Account kann nicht verwendet werden, um Zugriff auf die Box. Sie sich, wie Bob, oder George, oder was auch immer. Dann sind Sie mit su nach root, so dass ein Audit-Trail. Die Ausnahme ist das System Konsolen-Port ... können Sie sich als root gibt, starten die Maschine, usw. Die Konsolen-Port kann nur aus dem Computerraum. Oder, falls dies nicht möglich ist zu restriktiv, die Konsolen-Port zugegriffen wird von einem Remote-Server-Konsole. Sie müssen sich anmelden, um die Konsole-Server selbst, und dies bleibt ein Audit-Trail.

Das root-Passwort ist ein starkes Passwort. Es ist nur ein paar Experten. Können Sie wieder eine Katastrophe? Wenn nicht, nicht root-Passwort für Sie. (Möglicherweise hat ein Manager, aber nicht persönlich verwenden, das Passwort.) Wenn man von diesen Experten lässt, deaktivieren Sie sein Konto. Und Sie das root-Passwort ändern.

Andere Leute benutzen müssen, wenn sie sudo root für etwas ... dies auch aus einem Audit-Trail. Das bedeutet nicht, dass ALLE in sudoers jedoch. Nur ein paar Befehle begrenzt.

Etwas davon ist unsere offizielle Politik. Aber verschiedene bigshots oft Ausnahmen ordnen.

Ich hatte gerade zu halten meine 2-Cent hier. Ein Problem, das ich gesehen haben, ist ein Mangel an "Terminal-Server mit SSH (2) nur Zugang. Noch viel Telnet benutzen. Telnet und die BSD 'R'-Kommandos sollten verboten werden. Ein weiterer Grund ist, dass niemand setzt sich mit dem CEO (Präsident, Eigentümer, usw.) und hat eine Diskussion über das, was ist der wahre Wert der "Stoff" auf seinem Computer gespeichert werden. Oder die Kosten für ihn, wenn diese Systeme sind nicht mehr zugänglich. Das Ziel ist die Kraft, ihn / sie in einer Sicherheitspolitik. , Die wirklich die "bigshot" Zugang.
Die letzte Sache ist, etwas ein "alten" Sysadmin sagte einmal zu mir. Wir waren Einstellung Root Passwörter. Er packte eine UNIX-Buch aus dem Regal, fand ein Kapitel oder einen Sub-Kapitel mit sechs oder sieben Wörter in sie, den ersten Buchstaben eines jeden Wortes, "munged" diese Zeichen (a \u003d @; l \u003d | e \u003d 3, usw.) und sich das erste Zeichen des Hostnamens vor diese Zeichenfolge, und das letzte Zeichen des Hostnamens am Ende. Er habe "die gleichen" root-Passwort für alle Maschinen (leicht zu merken, vor allem wenn Sie schrieb das Kapitel Titel), und gleichzeitig ein anderes root-Passwort für jede Maschine. Ich habe diese (oder eine Variante) seit.

root kann nur Zugang zu den Feld durch seine Konsole, und nur die SA-Team hat root.
Jedes unserer Felder haben eine eigene PWD, irgendwie beruhigt Sie auf die Box auf unsere
Alle Passwörter endet, außer für root ... die ich nicht ändern, wir oft genug.

Unser Geschäft ist ein großer Verfechter von sudo.
Wir sind gefangen Menüs (dh nutzen sudo) im Ort auf allen Systemen für Datactr Personal für die folgenden Aktionen:
Erstellen Sie Unix-Konten (IS und User)
Passwörter ändern (alle mit Ausnahme von root)
Deaktivieren ist, und entfernen Sie Benutzer-Accounts.

Wie bereits erwähnt, sind alle diese Aktivitäten werden aus einem Audit-Trail und ... In unserem Fall werden sie auch einen Antrag im Zusammenhang HelpDesk #.
Denken Sie daran, wenn Sie hatte zu tun, alle diese Aufgaben ... sudo ist dein Freund

Wir nutzen auch E-Mail-(End-of-Tag), um uns zu helfen Audit Verwaltung anderer Politiken, wie die folgenden:
ungültige Versuche sudo (nicht gültig sudo Benutzer)
ungültige Versuche su (nicht Teil der SA-Team)
ungültige Anmeldeversuche 3 oder> ... das sind pro Stunde.
(Dies ist nur ein Beispiel für das, was umgesetzt werden kann, diese Liste kann auf-und-on)

SOX hat?
In der heutigen Klima SOX, finde ich, dass all diese Maßnahmen und die damit verbundenen Audit Trails erforderlich sind.

Wenn Sie nicht über etwas ähnliches verfügen, können Sie darüber nachdenken, wie einige von ihnen könnte einige Nutzen für Ihre env ..

Perderabo,

Der Job vor meinem aktuellen war die Sicherheit ideal. Alles, wohnte in der DMZ oder nächsten Zone wurde nach Trusted Solaris. Der root-Zugang war eine "Rolle", nicht ein Benutzer - Es gibt also keine direkte Anmeldung von jedem Ort aus. RBAC entschieden, den Tag und verlängert worden waren, um was sudo könnte und vieles mehr. Kein Zugang wurde unverschlüsselt durfte. Alle anderen Schichten - ca.-, Verkehrs-, Kunden-und Datenbank, dachte nicht TS Setup wurden in ähnlicher Weise. Umfangreiche Prüfung bestanden und gepflegt Audit-Logs der lokalen und entfernten Ort aa so können Sie-Prüfsumme, um sicherzustellen, dass die Audit-Trail war unverändert.

Sicherheit war eng, aber gut genug organisiert, um niemals ein Hindernis für die Wirtschaft.

Prost,

Keith