7. modulis · 7.1
Tiesības un minimāla pārvaldība
7. modulis: Piekļuve, piegādātāji un mākonis · Lasīšanas laiks: 10 minūtes
Mērķis: Pēc šīs nodarbības Jūs varēsiet iekārtot tiesības pēc principa "pēc iespējas mazāk": katram savs konts, administratora tiesības atsevišķi, ārējām pusēm pagaidu un ierobežota piekļuve, kā arī pastāvīga kārtība gadījumiem, kad kāds sāk darbu, maina amatu vai aiziet.
Pamatjēdzieni: least privilege (minimālas tiesības), personīgs konts, koplietots konts, administratora konts, funkciju nodalīšana, darbinieku ieplūde, pāreja un aizplūde, piekļuves pārskats
Princips: pēc iespējas mazāk
Least privilege (latviešu valodā: minimālas tiesības) nozīmē, ka katrs saņem tieši tādu piekļuvi, kāda nepieciešama viņa darbam, un ne vairāk. NIST to apraksta kā principu, saskaņā ar kuru lietotājiem ir tikai tās tiesības, kas ir minimāli nepieciešamas viņu uzdevumiem.
Kāpēc tas ir svarīgi? Tāpēc, ka agrāk vai vēlāk jebkuru kontu var pārņemt: izmantojot pikšķerēšanu (modulis 3), noplūdušu paroli (nodarbība 1.4) vai inficētu klēpjdatoru. Tas, ko uzbrucējs tad varēs izdarīt, pilnībā atkarīgs no šī konta tiesībām. Prakses studenta konts, kas veic tikai sociālo mediju uzdevumus, dod maz. Savukārt konta, kuram "ērtības labad" piešķirtas administratora tiesības visur, pārņemšana dod piekļuvi visam: e-pastam, maksājumiem, tīmekļa vietnei, rezerves kopijām.
Minimālas tiesības nemazina ielaušanās iespējamību, bet gan samazina radīto kaitējumu. Tā ir tā pati doma, kas slēpjas aiz ēkas atslēgām: apkopējai ir atslēga no ieejas durvīm, nevis no seifa.
Katram savs konts
Koplietots konts ir konts, kurā ar vienu un to pašu paroli pieslēdzas vairāki cilvēki: "mēs visi izmantojam info@example.com, lai pieslēgtos grāmatvedības sistēmai". Tas šķiet praktiski, taču tam ir četri lieli trūkumi:
- Jūs nezināt, kurš ko darīja. Žurnālā parādās tikai "info". Ja kāds maksājums ir mainīts, Jūs nevarat noskaidrot, kurš to izdarīja.
- Jūs nevarat atsevišķi kādam liegt piekļuvi. Ja kāds aiziet, parole jāmaina visiem, un praksē tas bieži vien netiek izdarīts.
- Divu faktoru autentifikācija darbojas slikti. Kods nonāk uz vienu tālruni, tāpēc 2FA tiek izslēgta vai kods tiek izsūtīts tālāk.
- Parole izplatās ar WhatsApp, zīmīšu un e-pastu starpniecību, tāpēc tā vairs nav slepena.
Personīgs konts to visu atrisina: sava pieteikšanās, sava 2FA, savs žurnāls, iespēja atsevišķi slēgt piekļuvi. Gandrīz katrs uzņēmējdarbības pakalpojums atbalsta vairākus lietotājus ar savām tiesībām. Koplietots e-pasta adrese, piemēram, info@, var turpināt pastāvēt kā adrese; ļaujiet cilvēkiem, kas to lasa, saņemt piekļuvi caur savu personīgo kontu, ja Jūsu e-pasta sistēma to atbalsta.
Administratora tiesības atsevišķi
Administratora konts var izveidot lietotājus, mainīt tiesības, mainīt iestatījumus un bieži arī dzēst datus. Tieši tāpēc to lietojiet pēc iespējas mazāk.
- Ikdienā strādājiet ar parastu kontu un pieteicieties kā administrators tikai tad, kad Jums kaut kas jāpārvalda. Tas attiecas arī uz Jūsu klēpjdatoru (nodarbība 5.2).
- Nodrošiniet, ka svarīgākajiem pakalpojumiem ir vismaz divi cilvēki ar administratora tiesībām, vai labi uzglabāts ārkārtas konts. Ja vienīgais administrators ir slims vai prombūtnē, Jūs nonāksiet strupceļā.
- Taču arī ne vairāk, nekā nepieciešams. Pieci administratori uzņēmumā ar astoņiem darbiniekiem ir par četriem par daudz.
- Katram administratora kontam ieslēdziet divu faktoru autentifikāciju, vēlams pret pikšķerēšanu noturīgu (nodarbība 2.4).
Funkciju nodalīšana ir vēl viens solis tālāk: viena persona nedrīkst vienatnē veikt sensitīvu darbību no sākuma līdz beigām. Pazīstamāko piemēru Jūs redzējāt nodarbībā 1.2: tas, kurš ievada jaunu piegādātāja IBAN, pats arī neapstiprina maksājumu. Mazā uzņēmumā tas var būt vienkārši: viens sagatavo maksājumu, otrs to apstiprina bankas lietotnē.
Ārējās puses: pagaidu un ierobežoti
Tīmekļa vietņu izstrādātājiem, grāmatvežiem, IT uzņēmumiem un ārštata darbiniekiem bieži nepieciešama piekļuve. Klasiska kļūda ir sniegt viņiem savu paroli. Tad viņi var darīt visu, ko Jūs varat, un pēc darba beigām Jūs vairs nezināt, kurš joprojām var iekļūt sistēmā.
Labāk:
- Piešķiriet savu kontu tikai ar nepieciešamajām tiesībām. Grāmatvedim pietiek ar rēķiniem; tīmekļa vietnes izstrādātājam ar vienas tīmekļa vietnes failiem.
- Piešķiriet piekļuvi ar beigu datumu, ja tas ir noteikts darba uzdevums. Daudzas sistēmas spēj automātiski likt kontam vai atslēgai zaudēt derīgumu.
- Kur iespējams, ierobežojiet, no kura tīkla kāds drīkst pieteikties.
- Fiksējiet, kam ir kāda ārēja piekļuve un kāpēc.
Ieplūde, pāreja un aizplūde
Tiesības pašas no sevis palielinās. Kāds sāk pārdošanā, dažus mēnešus palīdz administrācijā un pēc tam pāriet uz ražošanu. Ja neviens to neseko, pēc diviem gadiem šai personai ir visu trīs amatu tiesības. Tāpēc tiesības kārtojiet trīs brīžos:
| Brīdis | Ko Jūs darāt |
|---|---|
| Ieplūde (jauns darbinieks) | Izveidot personīgus kontus ar attiecīgā amata tiesībām, uzreiz iestatīt 2FA, paskaidrot, kur kas atrodas |
| Pāreja (cits amats) | Pievienot jaunas tiesības UN noņemt vecās tiesības |
| Aizplūde (aiziešana) | Pēdējā darba dienā deaktivizēt kontus, atsaukt sesijas ierīcēs, mainīt koplietotās paroles, nodot failus |
Aiziešanas gadījumā secība ir svarīga. Vispirms nododiet, tad deaktivizējiet, dzēsiet tikai vēlāk. Ja kontu dzēšat uzreiz, daudzos pakalpojumos pazūd arī šīs personas faili, kalendāri un e-pasts. Dažos mākoņpakalpojumos pēc neilga termiņa tas kļūst neatgriezenisks: Microsoft 365 pēc savas dokumentācijas noklusējuma saglabā dzēsta lietotāja OneDrive 30 dienas. Deaktivizēšana saglabā datus un slēdz piekļuvi.
Aiziešanas gadījumā neaizmirstiet arī: personas iestatītos pārsūtīšanas noteikumus (nodarbība 2.5), lietotņu paroles, piekļuvi bankas lietotnei, sociālajiem medijiem un domēna reģistratoram, kā arī ēkas atslēgas vai kartes.
Piekļuves pārskats
Piekļuves pārskats ir vienkārša tabula: par katru pakalpojumu, kam ir piekļuve, ar kādām tiesībām, un vai tas ir personīgs vai ārējs konts. Pārskatiet šo sarakstu vismaz divas reizes gadā un vienmēr pēc kāda aiziešanas. Par katru rindu uzdodiet vienu jautājumu: vai šai personai tas šodien joprojām ir nepieciešams?
Praksē: šādi tas izskatās
Mans WebOké vidē Jūs uzaicināt kolēģi, grāmatvedi vai tīmekļa vietnes izstrādātāju kā lietotāju. Viņš piesakās ar savām ziņām, un Jūs atzīmējat katru atļauju, ko viņam piešķirt, piemēram, grāmatvedim tikai Rēķini. Tikai konta īpašnieks var uzaicināt lietotājus un mainīt tiesības, un ar vienu pogas klikšķi Jūs atkal atceļat piekļuvi. DirectAdmin Jūs varat piešķirt tīmekļa vietnes izstrādātājam savu FTP kontu vienai mapei vai pieteikšanās atslēgu ar derīguma termiņu, ierobežotām komandām un piekļuvi tikai no noteiktām IP adresēm.
Nextcloud aizejošam kolēģim vispirms izvēlieties Disable: viņš vairs nevar pieteikties, bet faili tiek saglabāti. Rokasgrāmata ir skaidra: dzēsiet lietotāju tikai tad, kad viss ir pārņemts, jo dzēsts lietotājs kopā ar visiem saviem failiem pazūd neatgriezeniski. Citās sistēmās tas darbojas līdzīgi, taču nosaukumi un termiņi atšķiras; pārbaudiet to, pirms kāds aiziet.
Kopsavilkums
- Minimālas tiesības ierobežo kaitējumu, ja kontu pārņem.
- Katram savs konts: tad Jūs zināt, kurš ko darīja, un varat kādam atsevišķi liegt piekļuvi.
- Administratora tiesības izmantojiet tikai tad, kad nepieciešams, nelielam skaitam cilvēku, ar spēcīgu 2FA.
- Ārējās puses saņem savu, ierobežotu un, kur iespējams, pagaidu kontu, nekad ne Jūsu paroli.
- Sakārtojiet tiesības ieplūdes, pārejas un aizplūdes brīžos; aiziešanas gadījumā: nododiet, deaktivizējiet, dzēsiet vēlāk.
Tests
Uzdevums
Uzdevums A7.1: Kurš saņem kādu piekļuvi? Jūs saņemsiet virkni situāciju no maza uzņēmuma (jauns grāmatvedis, tīmekļa vietnes izstrādātājs darba uzdevumam, aizejošs kolēģis, prakses students). Katrai situācijai izvēlieties labāko veidu, kā piešķirt vai slēgt piekļuvi. Programma pārbaudīs Jūsu izvēli un paskaidros, kāpēc.
Uzdevums D7.1: Jūsu piekļuves pārskats. Izveidojiet piekļuves pārskatu saviem pieciem svarīgākajiem pakalpojumiem: kam ir piekļuve, ar kādām tiesībām, personīgs vai koplietots konts, iekšējs vai ārējs. Noņemiet vismaz vienu lieku tiesību vai koplietotu kontu un uzrakstiet aizplūdes sarakstu nākamajai reizei, kad kāds aizies.
Uzdevums D7.1: Jūsu piekļuves pārskats
Rīcības plāns: (1) Izvēlieties savus piecus svarīgākos pakalpojumus (piemēram, e-pastu, grāmatvedību, banku, mitināšanas paneli, mākoņkrātuvi, domēna reģistratoru). (2) Izveidojiet pārskatu par katru pakalpojumu: kam ir piekļuve (loma, vārdi nav nepieciešami), kādas tiesības, savs vai kopīgs konts, iekšējs vai ārējs, vai divu faktoru autentifikācija ir ieslēgta, pēdējās pieteikšanās datums, ja pakalpojums to rāda. (3) Katrā pakalpojumā atrodiet lietotāju sarakstu un salīdziniet to ar savu pārskatu. Pierakstiet atšķirības. (4) Noņemiet vismaz vienu lieku tiesību, vienu vecu kontu vai vienu kopīgu kontu, vai aizstājiet kopīgu kontu ar personīgiem kontiem. (5) Pārbaudiet, cik administratoru ir katram pakalpojumam; tiecieties pēc diviem. (6) Uzrakstiet savu darbinieka aiziešanas sarakstu: ko Jūs darāt kāda cilvēka pēdējā darba dienā (kontu atslēgšana, sesiju atsaukšana, pārsūtīšanas noteikumu un lietotņu paroļu pārbaude, kopīgu paroļu maiņa, failu nodošana, banka, sociālie tīkli, domēna reģistrators, atslēgas un kartes). (7) Ieplānojiet atkārtotu tikšanos (divreiz gadā), lai pārskatītu šo sarakstu.
Jūsu atzīmes un piezīmes paliek tikai šajā pārlūkprogrammā; mēs tās nekur nesūtām. Ja esat pieteikušies, sadaļā Mani kursi saglabājam tikai to, ka uzdevums ir paveikts.
Turpmākai lasīšanai
Soļi WebOké rakstos attiecas uz WebOké vidi; pie citiem pakalpojumu sniedzējiem tas darbojas līdzīgi.
- WebOké rokasgrāmata 11.3: Lietotāju uzaicināšana un tiesību piešķiršana
- Nextcloud rokasgrāmata 14.2: Lietotāju izveide, rediģēšana, deaktivēšana un dzēšana
- Nextcloud rokasgrāmata 14.7: Tiesības: kurš pārvalda ko Jūsu Nextcloud?
- Nextcloud rokasgrāmata 16.7: Kolēģis aiziet: droša datņu, kalendāra un koplietoto mapju pārņemšana
- DirectAdmin rokasgrāmata 3.5: Login Keys: pieteikšanās skriptiem un programmām
- DirectAdmin rokasgrāmata 11.6: FTP kontu izveide un pārvaldība
- NIST, Glossary: least privilege (angļu valodā): https://csrc.nist.gov/glossary/term/least_privilege
- Microsoft, OneDrive retention and deletion (angļu valodā): https://learn.microsoft.com/en-us/sharepoint/retention-and-deletion