원격 Linux 관리자 컨설턴트-모범 사례 [폐쇄]

우리는 인도의 컨설턴트를 Linux 관리자로 고용하고 있습니다. 우리는 그를 잘 모르고 보안 감사를 포함하여 모든 서버에 대한 루트 액세스 권한이 필요합니다.

우리가 어떤 악의적 인 활동으로부터 보호받을 수 있도록 그러한 작업을 위해 원격 컨설턴트를 가능하게하는 가장 좋은 방법은 무엇입니까?

미리 감사드립니다.

하지 마십시오 . 또한, 많은 위험에로있어 부적당 같은 악의 나는 회사가이 문제를 처리하는 전형적인 방법을 본 적이 무엇부터.

인도에는 아마도 훌륭한 시스템 관리자가 있지만 많은 회사들이 하는 방식 은 끔찍합니다.

만약 당신이 바디 샵을 겪고 있다면, 당신은 그들에게 아주 큰 상처를 줄 것입니다. 나는 3 명과 이야기를 나,는데, 그 중 한명이 내가 일한 사람 중 어느 누구도 기술적 인터뷰를하지 않았습니다.

그러므로, 누군가를 원격으로 고용해야한다면, 신을 위해서 그를 직접 인터뷰하고 그의 일을 알고 있는지 확인하십시오. 맹목적으로 누군가에게 양도하기에는 시스템 관리가 너무 중요합니다

이제 "불확실성"부분을 다루었으니

행정은 꽤 광범위한 문구입니다. 그리고 루트 액세스 권한이있는 사람은 무엇이든 할 수 있습니다 . 이제 개인적으로 관리자 계정을 만들고 sudo를 통해 자신을 향상시킬 수있는 능력을 부여하는 것이 더 좋습니다 (구성 관리 시스템이 많은 서버가있는 경우 처리해야 함). 그것은 심지어 어느 정도의 신뢰에 의존 한다는 것 입니다. 불만족스러운 시스템 관리자가 할 수있는 엄청난 피해에 대한 많은 이야기가 있습니다. 모든 비밀번호를 변경 하시겠습니까? 물론 결국에는 들어갈 수 있지만 사소한 것은 아니며 아마도 절약하는 것보다 비용이 많이들 것입니다.

따라서 현지인을 고려하십시오. 그렇지 않은 경우 자신 을 조사 하고 직접 고용 한 사람을 고려 하십시오 .

언급했듯이 이것을하지 마십시오.

자신을 보호 할 수있는 유일한 방법은 다음과 같이하는 것입니다.

1. 컨설턴트가 선택한 구성 관리 시스템을 사용해야한다고 주장하십시오.
2. 컨설턴트는 완료해야하는 작업에 대한 구성 관리 매니페스트를 작성합니다.
3. 컨설턴트는 테스트 시스템에서 매니페스트를 테스트합니다.
4. 준비되면 컨설턴트는 구성을 코드 저장소에 커미트합니다.
5. 모든 변경 사항은 귀하의 직원 또는 첫 번째 컨설턴트와 전혀 관련이없고 연락 할 방법이없는 다른 컨설턴트 가 검토 합니다.
6. 변경 사항이 사인 오프되면 사용자 또는 직원이 서버에 변경 사항을 적용합니다. 원래 컨설턴트 는 시스템에 액세스 할 수 없습니다.

분명히 말하지만, 이것은 매우 어색하고 비효율적 인 프로세스이지만 신뢰할 수없는 개인의 작업 수락을 주장하는 경우 물건을 처리하는 한 가지 방법입니다.

그래도 추천 한 것처럼 신뢰할 수있는 알려진 개인을 고용하는 것이 훨씬 좋습니다.

우리가 어떤 악의적 인 활동으로부터 보호받을 수 있도록 그러한 작업을 위해 원격 컨설턴트를 가능하게하는 가장 좋은 방법은 무엇입니까?

법적 관점에서 : 사전 실사와 계약 위반에 대한 엄격한 처벌.

제공된 이력서 확인 사실, 교육 성적 증명서 및 인증 번호 요청, 참조 확인 및 전화, 인터뷰, 심지어는 사내 직원 (및 / 또는 서비스 제공 업체)을 고용 할 때도 적용되는 일반적인 좋은 고용 관행으로 시작합니다. 신원 조회 또는 보안 상담 등

그런 다음 당근을 적용 하십시오 : 공정한 가치를 지불하고, 매력적인 일, 놀라운 동료, 좋은 근무 조건 및 혜택 등 ( 땅콩을 지불하면 원숭이를 얻습니다. )

그리고 스틱 : 고용 / 서비스 계약 조건을 위반하면 변호사를 아프게하고 파산하게됩니다!

불행히도 국경과 시간대를 넘어갈 때 위의 두 가지가 점점 더 어려워집니다.

누군가를 고용하기로 결정하면 :

• 명확한 지시 사항과 정책에 따라 사람들은해야 할 것과하지 말아야 할 것을 알고 있어야합니다.
• 최소한의 액세스 원칙이 적용되어 사람들이 (의도적으로 또는 의도적으로)하지 말아야 할 일을하는 것을 어렵게 만듭니다. 일반적인 시스템 관리자의 경우 여전히 전체 액세스 권한을 의미하지만 보안 감사자는 전체 관리자 액세스 권한이 필요하지 않지만 기존 관리자에게 보고서를 작성하는 데 필요한 세부 정보를 수집하는 스크립트를 실행하도록 요청할 수 있습니다. 이러한 스크립트는 미리 쉽게 확인할 수 있습니다.
• 신뢰하지만 확인하십시오. 기존 직원이 새 직원의 업무를 확인하고 항상 감사 정보를 수집하도록하십시오.
• 등

이 질문 은 고객이 저를 위해 원격 액세스를 설정하기 위해 일반적으로 수행하는 작업에 대해 자세히 설명합니다.

내가 보지 못한 것을 염두에두고 자신을 보호하는 체계적인 방법이 있습니다.

가상화 하이퍼 바이저 (VMware, Xenserver, Hyper-V 등)에서 Linux 인스턴스를 VM으로 호스팅합니다.

원격 관리자에게 하이퍼 바이저에 대한 액세스 권한을 부여하지 마십시오. 원격 관리자는 VM 자체에 대한 루트 액세스 권한 만 갖습니다.

DO 하이퍼 바이저 기반 백업 시스템 (Unitrends, Veeam, vSphere Data Protection 등) 구현

각 Linux VM의 하루에 최소 하나의 스냅 샷을 유지하여 필요하다고 생각하는 시간으로 되돌아갑니다.

원격 관리자에게 백업 리포지토리에 대한 쓰기 권한을 부여하지 마십시오.

이러한 작업을 수행하면 원격 관리자가 제어 할 수없는 각 Linux 인스턴스의 백업 스냅 샷이 생성됩니다. 원격 관리자가 의도적이든 우발적이든 비꼬는 일을하는 경우, 어떤 일이 일어 났는지 평가하기 위해 항상 문제가 발생하기 전에 백업을 마운트하여 깨끗한 상태로 복구 할 수 있습니다.

이것은 하이퍼 바이저 사이드 채널 공격에 대한 증거가 아니며, 공격자가 루트 액세스 권한을 가진 VM에서 잠재적으로 마운트 될 수 있습니다.

백업이 제 시간에 충분히 돌아 가지 않으면 보호되지 않습니다.

하이퍼 바이저 및 백업 인프라를 제어하는 ​​사람을 철저히 신뢰해야합니다.

클라우드 (AWS, Azure 등)에서이 작업을 수행하는 경우 구현 세부 사항이 다르지만 일반적인 개념은 동일합니다.

본질적으로, 비즈니스 파트너가 아닌 당사자간에 책임을 분담하고 신뢰하는 사람을 고용하십시오.

자신의 사용자 계정을 부여하십시오. 그런 다음 액세스 권한이 필요한 항목을 정확히 찾아서 해당 액세스 권한 만 부여하십시오. 예를 들어, Apache 웹 서버를 재구성해야하는 경우 ACL을 사용하여 Apache 구성 파일에 대한 쓰기 액세스 권한을 부여 sudo하고 Apache 서비스를 다시 시작하지만 루트로 다른 명령을 실행하지 않도록 구성하십시오 . 언제나 그렇듯이 액세스 권한이있는 항목 (이 경우 Apache 구성 파일)의 백업을 유지하십시오.