我最近在一家中型公司开始从事应用程序安全工作,从安全咨询(测试等)转变了5年.我从一开始就看到的最大挑战之一是安全扫描程序和其他工具使用root / Administrator访问权限,因为这是供应商告诉他们使用的,很可能是因为配置简单.我真的不喜欢这个主意.例如,Nexpose和nessus都配置为使用root和Administrator.
我的问题 – 在管理对这些特权帐户的访问方面,最佳做法是什么？我最初的想法是拥有一种密码保险库系统,它只知道系统的密码.然后,用户可以根据需要“签出”root / Administrator密码“特别是对于nessus,只有少数命令以root身份运行,所以我认为只创建一个标准用户并将其添加到sudoers文件,只允许那些特定的命令.
谢谢！
解决方法
如果您正在寻找集中式组或用户管理器,那么有许多商业应用程序可以实现此目的.
在您的Linux机器上禁用以root身份登录并使用户自己登录.如果该框对LDAP或AD进行身份验证,您将拥有此类事务的记录.您仍然需要在该框中为该用户授予特定权限.登录到框后使用sudo还可以更轻松地进行审计和跟踪.
不知道你公司的结构和分工如何让这个问题更难回答.安全性,服务器管理员,应用程序管理员是我受雇的独立部门.应用程序管理员没有管理员权限只能运行此类工具服务器管理员.服务器管理员可以在框中添加/删除/删除本地帐户,但不能更改AD / LDAP.安全审核所有服务器以获取特定盒子上的本地帐户,并且需要人们证明其使用的合理性.
使用通用用户登录可以使您的系统保持开放状态,无法确定导致问题的原因.最好将它全部锁定并根据需要提供访问,然后假设人们将诚实和新的搞砸了.这对你来说更有用,但它可以让你晚上睡得更好.更重要的是,在您发现其中一台服务器遭到入侵并且CIO想知道原因之前,您从未生活过.
