7 modulis · 7.1
Teisės ir minimalus valdymas
7 modulis: Prieiga, tiekėjai ir debesija · Skaitymo trukmė: 10 min.
Mokymosi tikslas: Po šios pamokos galėsite sutvarkyti teises pagal principą „kuo mažiau": kiekvienas turi savo paskyrą, administratoriaus teisės atskirtos, išorinės šalys gauna laikiną ir ribotą prieigą, o darbuotojui pradėjus dirbti, keičiant pareigas ar išeinant iš darbo taikomas aiškus veiksmų planas.
Pagrindinės sąvokos: mažiausių teisių principas (least privilege), asmeninė paskyra, bendra paskyra, administratoriaus paskyra, pareigų atskyrimas, prieigos suteikimas, keitimas ir panaikinimas, prieigos apžvalga
Principas: kuo mažiau
Least privilege (liet. mažiausių teisių principas) reiškia, kad kiekvienas gauna tiksliai tokią prieigą, kokios reikia jo darbui, ir ne daugiau. NIST apibrėžia tai kaip principą, pagal kurį naudotojai turi tik tas teises, kurios minimaliai reikalingos jų užduotims atlikti.
Kodėl tai svarbu? Nes kiekvieną paskyrą anksčiau ar vėliau gali perimti kitas asmuo: dėl sukčiavimo (phishing, 3 modulis), nutekėjusio slaptažodžio (1.4 pamoka) arba užkrėsto nešiojamojo kompiuterio. Ką tuomet galės padaryti užpuolikas, visiškai priklauso nuo tos paskyros teisių. Stažuotojo, kuris tvarko tik socialinius tinklus, paskyra duoda nedaug. O asmens, kuris „patogumo dėlei" yra administratorius visur, paskyra duoda viską: paštą, mokėjimus, svetainę, atsargines kopijas.
Taigi minimalios teisės nesumažina įsilaužimo tikimybės, bet sumažina žalą. Tai ta pati logika, kaip ir su pastato raktais: valytoja turi lauko durų raktą, bet ne seifo.
Kiekvienas turi savo paskyrą
Bendra paskyra yra paskyra, kuria su tuo pačiu slaptažodžiu naudojasi keli žmonės: „mes visi naudojame info@example.com, kad prisijungtume prie apskaitos sistemos". Tai atrodo praktiška, tačiau turi keturis didelius trūkumus:
- Nežinote, kas ką padarė. Žurnale yra tik „info". Jei pakeistas mokėjimas, negalite nustatyti, kas tai padarė.
- Negalite atskirai kam nors uždaryti prieigos. Kai kas nors išeina, slaptažodį reikia keisti visiems, o praktikoje tai dažnai nepadaroma.
- Dviejų veiksnių autentifikavimas veikia prastai. Kodas gaunamas į vieną telefoną, todėl 2FA išjungiama arba kodas persiunčiamas kitiems.
- Slaptažodis keliauja per WhatsApp, lapelius ir el. laiškus, todėl nebelieka slaptas.
Asmeninė paskyra visa tai išsprendžia: savas prisijungimas, savas 2FA, savas žurnalas, galima atskirai uždaryti. Beveik kiekviena verslo paslauga palaiko kelis naudotojus su atskiromis teisėmis. Bendras pašto adresas, pavyzdžiui info@, gali puikiai egzistuoti kaip adresas; tiesiog suteikite prie jo prieigą tiems, kas jį skaito, per jų asmenines paskyras, jei Jūsų pašto sistema tai palaiko.
Administratoriaus teisės atskirai
Administratoriaus paskyra gali kurti naudotojus, keisti teises, keisti nustatymus ir dažnai net trinti duomenis. Būtent todėl ją reikia naudoti kuo rečiau.
- Kasdien dirbkite su įprasta paskyra ir prisijunkite kaip administratorius tik tada, kai reikia ką nors valdyti. Tai galioja ir Jūsų nešiojamam kompiuteriui (5.2 pamoka).
- Užtikrinkite, kad svarbiausiose paslaugose būtų bent du žmonės su administratoriaus teisėmis, arba gerai saugomą atsarginę paskyrą. Jei vienintelis administratorius serga ar jo nėra, atsidursite aklavietėje.
- Tačiau taip pat ne daugiau, nei reikia. Penki administratoriai aštuonių žmonių įmonėje yra keturiais per daug.
- Kiekvienai administratoriaus paskyrai įjunkite dviejų veiksnių autentifikavimą, pageidautina atsparų sukčiavimui (2.4 pamoka).
Pareigų atskyrimas eina dar toliau: vienas asmuo neturėtų vienas pats nuo pradžios iki galo atlikti jautraus veiksmo. Garsiausią pavyzdį matėte 1.2 pamokoje: kas įveda naują tiekėjo IBAN numerį, pats nepatvirtina to mokėjimo. Mažoje įmonėje tai gali būti paprasta: vienas paruošia mokėjimą, kitas jį patvirtina banko programėlėje.
Išorinės šalys: laikinai ir ribotai
Svetainių kūrėjams, buhalteriams, IT įmonėms ir laisvai samdomiems specialistams dažnai reikia prieigos. Klasikinė klaida yra suteikti jiems savo paties slaptažodį. Tuomet jie gali viską, ką galite ir Jūs, o pasibaigus darbui nebežinosite, kas dar gali prisijungti.
Geriau:
- Suteikite atskirą paskyrą tik su reikalingomis teisėmis. Buhalteriui pakanka sąskaitų faktūrų; svetainės kūrėjui pakanka vienos svetainės failų.
- Suteikite prieigą su galiojimo pabaigos data, jei tai vienkartinis darbas. Daugelis sistemų gali automatiškai panaikinti paskyros ar rakto galiojimą.
- Kur įmanoma, apribokite, iš kokio tinklo asmuo gali prisijungti.
- Užfiksuokite, kas turi kokią išorinę prieigą ir kodėl.
Prieigos suteikimas, keitimas ir panaikinimas
Teisės savaime auga. Kažkas pradeda dirbti pardavimuose, kelis mėnesius padeda administracijoje, o vėliau pereina į gamybą. Jei niekas nekreipia dėmesio, po dvejų metų tas asmuo turės visų trijų pareigybių teises. Todėl teises reikia sutvarkyti trimis momentais:
| Momentas | Ką darote |
|---|---|
| Prieigos suteikimas (naujas darbuotojas) | Sukurti asmenines paskyras su pareigybei priklausančiomis teisėmis, iš karto nustatyti 2FA, paaiškinti, kur kas yra |
| Pareigų keitimas (kitos pareigos) | Pridėti naujas teises IR panaikinti senas |
| Prieigos panaikinimas (išėjimas) | Paskutinę darbo dieną išjungti paskyras, atšaukti sesijas įrenginiuose, pakeisti bendrus slaptažodžius, perduoti failus |
Išeinant iš darbo svarbi tvarka. Pirmiausia perduoti, tada išjungti, tik vėliau ištrinti. Jei paskyrą ištrinsite iš karto, daugelyje paslaugų kartu dings ir to asmens failai, kalendoriai bei paštas. Kai kuriose debesijos paslaugose tai po trumpo laikotarpio tampa negrįžtama: pagal savo dokumentaciją Microsoft 365 išjungto naudotojo OneDrive numatytai saugo 30 dienų. Išjungimas išlaiko duomenis ir užblokuoja prieigą.
Išeinant iš darbo nepamirškite ir apie: to asmens nustatytas persiuntimo taisykles (2.5 pamoka), programėlių slaptažodžius, prieigą prie banko programėlės, socialinių tinklų paskyrų ir Jūsų domeno registratoriaus, taip pat pastato raktų ar kortelių.
Prieigos apžvalga
Prieigos apžvalga yra paprasta lentelė: kiekvienai paslaugai nurodoma, kas turi prieigą, su kokiomis teisėmis, ir ar tai asmeninė, ar išorinė paskyra. Peržiūrėkite šį sąrašą bent du kartus per metus, ir visada po kažkieno išėjimo. Kiekvienai eilutei užduokite vieną klausimą: ar šiam asmeniui tai dar reikalinga šiandien?
Praktikoje: taip tai atrodo
Mano WebOké aplinkoje kolegą, buhalterį ar svetainės kūrėją pakviečiate kaip naudotoją. Jis prisijungia su savais duomenimis, o Jūs pažymite, kokius leidimus jis turi, pavyzdžiui, buhalteriui leidžiate matyti tik Sąskaitas faktūras. Tik paskyros savininkas gali kviesti naudotojus ir keisti teises, o vienu mygtuko paspaudimu galite atšaukti prieigą. „DirectAdmin" sistemoje svetainės kūrėjui galite suteikti atskirą FTP paskyrą vienam aplankui arba prisijungimo raktą su galiojimo pabaigos data, ribotomis komandomis ir prieiga tik iš tam tikrų IP adresų.
„Nextcloud" sistemoje, kai kolega išeina iš darbo, pirmiausia pasirinkite Išjungti: jis nebegalės prisijungti, bet failai liks išsaugoti. Instrukcijoje aiškiai nurodyta: naudotoją trinkite tik tada, kai viskas bus perimta, nes ištrinto naudotojo failai dings negrįžtamai kartu su juo. Kitose sistemose tai veikia panašiai, tačiau pavadinimai ir terminai skiriasi; pasitikrinkite tai prieš kažkam išeinant iš darbo.
Santrauka
- Minimalios teisės sumažina žalą, jei paskyra perimama.
- Kiekvienas turi savo paskyrą: tada žinote, kas ką padarė, ir galite atskirai uždaryti prieigą.
- Administratoriaus teises naudokite tik tada, kai būtina, nedideliam žmonių skaičiui, su stipriu 2FA.
- Išorinės šalys gauna atskirą, ribotą ir, kur įmanoma, laikiną paskyrą, niekada ne Jūsų slaptažodį.
- Sutvarkykite teises prieigos suteikimo, keitimo ir panaikinimo metu; išeinant iš darbo: perduoti, išjungti, vėliau ištrinti.
Testas (quiz)
Užduotis
Užduotis A7.1: Kas gauna kokią prieigą? Jums bus pateikta keletas situacijų iš mažos įmonės (naujas buhalteris, svetainės kūrėjas vienam darbui, kolega, išeinantis iš darbo, stažuotojas). Kiekvienai situacijai pasirinkite geriausią būdą suteikti ar panaikinti prieigą. Programa patikrins Jūsų pasirinkimą ir paaiškins kodėl.
Užduotis D7.1: Jūsų prieigos apžvalga. Sukurkite penkių svarbiausių paslaugų prieigos apžvalgą: kas turi prieigą, su kokiomis teisėmis, asmeninę ar bendrą paskyrą, vidinę ar išorinę. Pašalinkite bent vieną perteklinę teisę ar bendrą paskyrą ir parašykite savo prieigos panaikinimo sąrašą, kuriuo pasinaudosite, kai kitą kartą kažkas išeis iš darbo.
Užduotis D7.1: Jūsų prieigos apžvalga
Štai kaip tai padaryti: (1) Pasirinkite penkias svarbiausias paslaugas (pavyzdžiui, el. paštą, apskaitą, banką, talpinimo valdymo skydelį, debesijos saugyklą, domeno registratorių). (2) Kiekvienai paslaugai sudarykite apžvalgą: kas turi prieigą (vaidmuo, vardų nereikia), kokios teisės, asmeninė ar bendra paskyra, vidinė ar išorinė, ar įjungtas dviejų veiksnių autentifikavimas, paskutinio prisijungimo data, jei paslauga ją rodo. (3) Kiekvienoje paslaugoje suraskite naudotojų sąrašą ir palyginkite jį su savo apžvalga. Užsirašykite skirtumus. (4) Pašalinkite bent vieną nereikalingą teisę, vieną seną paskyrą arba vieną bendrą paskyrą, arba pakeiskite bendrą paskyrą asmeninėmis paskyromis. (5) Kiekvienoje paslaugoje patikrinkite, kiek yra administratorių; siekite dviejų. (6) Parašykite išėjimo sąrašą: ką darote paskutinę kažkieno darbo dieną (išjungiate paskyras, atšaukiate seansus, patikrinate persiuntimo taisykles ir programų slaptažodžius, pakeičiate bendrus slaptažodžius, perduodate failus, bankas, socialiniai tinklai, registratorius, raktai ir kortelės). (7) Nustatykite pasikartojantį priminimą (du kartus per metus) apžvalgai peržiūrėti.
Jūsų pažymėti varneliai ir pastabos lieka tik šioje naršyklėje; niekur jų nesiunčiame. Jei esate prisijungę, skiltyje Mano kursai išsaugome tik tai, kad užduotį atlikote.
Skaitykite daugiau
WebOké straipsniuose aprašyti veiksmai galioja WebOké aplinkoje; pas kitus paslaugų teikėjus tai veikia panašiai.
- WebOké vadovas 11.3: Naudotojų kvietimas ir teisių suteikimas
- Nextcloud vadovas 14.2: Naudotojų kūrimas, redagavimas, išjungimas ir šalinimas
- Nextcloud vadovas 14.7: Teisės: kas administruoja ką Jūsų Nextcloud sistemoje?
- Nextcloud vadovas 16.7: Bendradarbis išeina: kaip saugiai perimti failus, kalendorių ir bendrinamus aplankus
- DirectAdmin vadovas 3.5: Prisijungimo raktai: prisijungimas skriptams ir programoms
- DirectAdmin vadovas 11.6: FTP paskyrų kūrimas ir valdymas
- NIST, Glossary: least privilege (anglų k.): https://csrc.nist.gov/glossary/term/least_privilege
- Microsoft, OneDrive retention and deletion (anglų k.): https://learn.microsoft.com/en-us/sharepoint/retention-and-deletion