Protezione della rete di amministrazione

4

Vogliamo proteggere la nostra rete amministrativa da minacce persistenti avanzate e anche da amministratori non autorizzati. Ho già letto le migliori pratiche di SANS Institute, NSA o altre guide.

Abbiamo reti fisiche separate per l'amministrazione e la produzione e la workstation di amministrazione non ha connessione a Internet, porte USB, ecc ... Abbiamo anche database crittografati.

In realtà, questo non impedisce ad alcuni amministratori non autorizzati di eseguire una backdoor del server del database per ottenere la chiave (dato che la decrittografia viene eseguita sul server di database). Non siamo riusciti a implementare la crittografia lato applicazione come se fosse un software proprietario.

Voglio implementare l'amministrazione di accesso zero per server di produzione sensibili. Mi piacerebbe farlo facendo in modo che i server stessi tirassero gli script di amministrazione e li eseguissero solo se sono firmati (pgp) da almeno 2 amministratori (con un agente e qualcosa come un repository git). (come la revisione del codice ma migliorata con qualche crittografia). Con ciò, penso che otterremo una rete amministrativa senza alcun singolo punto di errore. Qualcuno avrà bisogno di almeno 2 account amministratori coinvolti per eseguire codice su server sensibili.

Vorrei sapere se hai qualche consiglio per proteggere la nostra rete amministrativa da amministratori non autorizzati e APT?

Mi piacerebbe anche conoscere la tua opinione su questo tipo di amministrazione (tutti gli script) e se hai già implementato qualcosa del genere (o hai qualche esempio)? (es: come sta la NSA dopo Snowden?)

Esiste qualche altra buona pratica per proteggere dalle perdite dagli amministratori (con il vincolo di non poter crittografare il lato dell'applicazione dei dati)?

    
posta r00t 23.07.2015 - 00:34
fonte

1 risposta

3

Negli ultimi tempi, c'è stata una buona pratica nella comunità DevOps:

Se non è automatizzato, non è sicuro.

L'automazione offre vantaggi per la sicurezza (ad esempio accesso limitato e controllato tramite la gestione della configurazione, ad esempio Puppet, Chef, SaltStack), ma anche per disponibilità e facilità di supporto. Per quanto riguarda la disponibilità, dovrebbe essere veloce per ripristinare le modifiche e il QA per individuare i problemi. Per facilità di supporto, non si basa più su comandi Ssh una tantum, ecc. Gestiti dagli amministratori di sistema, invece una correzione è automatizzata e può essere facilmente riprodotta.

In questi ambienti, l'accesso remoto via SSH ecc. a singoli server è generalmente disabilitato. Invece, è necessario utilizzare il sistema di gestione della configurazione per inviare eventuali modifiche o semplicemente distribuire un nuovo server, a seconda di come è progettato lo stack DevOps.

SELinux può anche essere sfruttato per fare in modo che gli amministratori di sistema non abbiano accesso ai dati reali, solo le funzioni di sysadmin. Tuttavia, questo è molto complicato da mantenere e non è comunemente praticato, per quanto ne so, al di fuori della NSA e di altre entità ad alta sicurezza supportate dallo stato.

Per rilevare e potenzialmente prevenire perdite / perdite di dati, è possibile richiamare una soluzione DLP. Questo può essere installato sui server (tramite la gestione della configurazione) e verrà attivato se un amministratore di sistema tenta di scaricare dati, ecc. Queste soluzioni sono spesso costose, ma offrono un'ultima linea di difesa contro il personale non autorizzato.

La politica aziendale può anche indirizzare gli sforzi di risanamento - se viene chiarito agli amministratori di sistema quali attività potrebbero violare la politica aziendale, e le sanzioni sono chiarite nella politica; questo potrebbe avere un strong effetto deterrente nei confronti di potenziali fuggitivi.

Alla fine, comunque, un sysadmin sufficientemente intelligente può eventualmente eludere la maggior parte di queste protezioni. Per citare il vecchio aforisma, "Le serrature tengono fuori le persone oneste". Puoi aggiungere quante serrature vuoi, se hai uno staff dedicato ad attività nefande sarà difficile fermarle.

    
risposta data 23.07.2015 - 01:11
fonte

Leggi altre domande sui tag