È accettabile per gli ingegneri della sicurezza avere l'accesso amministrativo ai server di produzione?

Question

È accettabile per gli ingegneri della sicurezza avere l'accesso amministrativo ai server di produzione?

#1 da (4 voti)

5

Nella mia organizzazione, il nostro team di infrastruttura server ha storicamente detenuto tutti gli accessi di amministratore ai server di produzione. Recentemente stiamo cercando di rafforzare la nostra posizione di sicurezza, quindi abbiamo assunto diversi nuovi ingegneri della sicurezza. Stiamo investendo ingenti fondi in nuovi set di strumenti per loro, e stiamo anche cercando di identificare dove dobbiamo cambiare le nostre politiche e i modelli di sicurezza per consentire loro di svolgere il proprio lavoro in modo efficace.

Alcuni ingegneri della sicurezza ritengono che dovrebbero avere accesso amministrativo ai server di produzione, al fine di indagare sulle attività sospette, come riportato dai loro nuovi strumenti.

È stato proposto dal team dell'infrastruttura del server che potevano concedere l'accesso ai singoli server in base alle necessità per incidenti specifici. Gli ingegneri della sicurezza sostengono che un tale processo ad alto coefficiente di attrito rallenterebbe potenzialmente le indagini, che per loro natura spesso si svolgono in situazioni in cui i minuti contano e dove non sanno realmente a quali server avranno bisogno di accedere fino a quando non sono a gomito -Deep nell'indagine, e la pausa ogni pochi minuti per richiedere l'accesso a un nuovo server sarebbe inutilmente ingombrante. Il team dell'infrastruttura server sostiene che gli strumenti degli ingegneri della sicurezza dovrebbero fornire visibilità sulla maggior parte dei dati di cui i progettisti hanno bisogno, e sono riluttanti a concedere l'accesso amministrativo per gli ingegneri.

Sono consigliate le migliori pratiche per tali situazioni? Comprendo il desiderio del team dell'infrastruttura server di mantenere il principio del privilegio minimo per motivi di sicurezza. Ma capisco anche che gli ingegneri della sicurezza sono in qualche modo implicitamente fidati della natura del loro ruolo. Nelle grandi organizzazioni, in che modo viene generalmente gestito l'accesso dei tecnici di sicurezza ai server?

server access-control administration

posta loneboat 12.04.2018 - 22:07

fonte

1 risposta

Leggi altre domande sui tag server access-control administration

Si tratta di una semplice protezione contro EFAIL? Perché le schermate di accesso nascondono il campo di inserimento della password fino a quando non viene fornito il nome utente? [duplicare]

score 4 · Answer 1

Buona domanda. Questo è un argomento difficile. La risposta facile è "dipende" e non c'è una risposta perfetta. Inoltre, non è possibile dare una risposta prescrittiva se dovrebbero avere questo accesso senza considerare l'ambito dettagliato dei team. Ma cercherò di fornire un contesto migliore.

In primo luogo, il lavoro deve essere svolto e gli ingegneri della sicurezza hanno un buon punto se non riescono a portare a termine il proprio lavoro. Assicurati che i Security Engineer abbiano bisogno di accesso. Dovremmo abbattere il problema per identificare se gli ingegneri della sicurezza hanno bisogno di accedere o meno. Questi passaggi iniziali potrebbero essere ovvi, ma li elenco comunque:

Quali compiti devono svolgere i Security Engineer? Sii specifico. La risposta alla domanda dipende molto dalla portata del lavoro dei Security Engineers!
Di queste attività, quali lacune esistono nel loro attuale accesso?
Esiste un modo per consentire loro di accedere alle informazioni / ai controlli necessari senza fornire loro l'accesso diretto?
Vale la pena farlo? Spesso può essere troppo lavoro o troppo costoso (vale a dire non ne vale la pena) per cercare di implementare una soluzione che permetta loro di avere le informazioni e i controlli necessari. E in questo caso l'accesso diretto è la soluzione migliore / più economica.

Se i Security Engineer richiedono l'accesso (il più delle volte), è necessario impiegare la difesa in profondità per cercare di essere il più sicuri possibile. In altre parole, l'azienda deve tentare di adottare misure per prevenire un incidente e avere una capacità di risposta adeguata. In tal modo il rischio può essere ridotto a un livello gestibile.

Alcune considerazioni:

Prevenzione degli incidenti
- Minimo privilegio : consente di accedere il minor numero di Security Engineer possibile. Più account con accesso aumentano la superficie di attacco. Per ogni account devi preoccuparti di:
  1. l'account compromesso e
  2. il dipendente che causa un danno intenzionale o involontario.
- Autenticazione strong (multifactor): Attiva l'autenticazione avanzata per impedire che l'account venga compromesso e contribuisca a far rispettare la non ripudio.
- Limita accessibilità : se possibile, riduci la possibilità di raggiungere il sistema della rete richiedendo l'accesso a intranet, VPN o da una jump box.
Risposta agli incidenti : se si verifica un incidente, questi ti aiuteranno a gestire la situazione
- Non ripudio - L'accesso dell'amministratore ai sistemi deve essere ben documentato e verificato in modo da impedire, per quanto possibile, a un amministratore di negare l'esecuzione delle azioni.
- Separazione dei compiti - Ad esempio, i tecnici della sicurezza non dovrebbero avere la possibilità di modificare i registri. Questo aiuta a non ripudiare. Inoltre, assicurati che un Security Engineer non possa fare danni irreparabili non concedendo loro l'accesso ai backup di configurazioni / software / dati.

Ce ne sono molti altri, ma personalmente ritengo che se quanto sopra è ben stabilito, il Team Infrastructure si sentirà più a suo agio nel dare l'accesso ai Security Engineer.

In breve : dai ai team l'accesso di cui hanno bisogno per svolgere il proprio lavoro. Non limitare il loro accesso alle risorse necessarie. Sì, questo significa che stai aumentando la tua superficie d'attacco, ma puoi usare la difesa in profondità per ridurre al minimo il rischio.