은행 개발자 직원을위한 Ubuntu

사용자가 안전하지 않은 위치에서 이진 파일을 다운로드하지 못하게하는 은행 및 기타 비즈니스에 대해 사용자 지정 Ubuntu 컴퓨터 (설치부터 매일 사용까지)를 실행하는 방법에 대한 프로세스와 방법이 문서화되어 있습니까?

따라서 몇 가지 신뢰할 수있는 인터넷 또는 인트라넷 위치에서만 apt-get, update 등이 발생합니까?

업데이트 : 첫 번째 답변 후에 이것을 추가했습니다. 이러한 사용자는 은행 소프트웨어의 시스템 및 개발자의 초보자, 지원자이며 일부는 sudo 권한이 필요합니다. 소스 목록 추가와 같은 예외가 신속하게 포착되도록 알려진 준비된 위치에서 항목을 설치하는 것과 같은 다른 조치는보고되지 않습니다.

목표는 안전하고, 우분투 또는 풍미를 사용하여, 데비 퍼 및 기타 sudo 사용자가 가능한 한 생산성을 높일 수 있도록하는 것입니다. (Windows 및 Mac 컴퓨터에 대한 의존도 감소)

.2. IT 담당자는 사용자에게 정책을 제시하여 sudo 사용자라도 폴더 공유와 같은 일부 작업을 수행 할 수 없습니까? 완벽한 솔루션?

이것은 매우 좋은 질문이지만 대답은 매우 어렵습니다.

먼저 @Timothy Truckle을 시작하려면 좋은 출발점이 있습니다. 보안 팀이 모든 패키지를 확인할 수있는 자체 apt 저장소를 실행합니다. 그러나 그것은 시작에 불과합니다.

다음으로 그룹을 구현하려고합니다. 지원의 도움없이 사용자가 필요한 작업을 수행 할 수 있도록하는 것이 목표입니다. 그러나 뱅킹에서는 실제로 물건을 묶기를 원합니다. 실제로 많은 회사 구조에서 사물을 잠그고 싶습니다. 따라서 일반 사용자에게 모든 수준의 sudo 권한을 부여하는 것은 아마도 불가능할 것입니다.

아마도 당신이 할 일은 특정 그룹이 작업을 수행하기 위해 높은 권한을 필요로하지 않도록 설정하는 것입니다.

다시 말하지만, 대부분의 회사 환경에서 소프트웨어 설치는 해고 될 수있는 일입니다. 소프트웨어가 필요한 경우 IT라고 부르고 소프트웨어를 요청하거나 요청 체인 또는 이와 같은 것이 있습니다.

이상적으로는 설치를 위해 일반 직원이 필요하지 않거나 높은 권한이 필요하지 않습니다.

이제 개발자에게는 질문이 조금 다릅니다. 설치해야 할 수도 있고 sudo가 필요할 수도 있습니다. 그러나 그들의 박스는 "위험 네트워크"에 있으며 절대 중요한 시스템에 직접 연결할 수 없습니다.

IT / 지원 담당자는 sudo가 필요합니다. 그러나 명령, 프로세스 (서류) 또는 기타 방법으로 sudo 액세스를 제한 할 수 있습니다. "2 eyes principal"과 같은 것들과 그것을 구현하는 방법에 관한 많은 양이있을 수 있습니다. 그러나 감사 로그가 존재하며 대부분의 요구를 충족하도록 구성 할 수 있습니다.

다시 질문으로 돌아가십시오. Timothy Truckle의 답변은 100 % 정확하지만 귀하의 질문에 대한 전제는 벗어났습니다. Linux OS 보안은 특정 유스 케이스에 필요한 설정을 선택하는 것에 대한 것이 아니라 사물을 보호하는 방법에 대한 일반적인 아이디어는 아닙니다.

인트라넷 내에 자신의 데비안 저장소 프록시를 설정하십시오 .

데비안 저장소 프록시가의 유일한 항목이되도록 우분투 설치를 사용자 정의하십시오/etc/apt/sources.list .

Et Voila : 수퍼 유저 권한을 가진 사용자가없는 한 클라이언트에 설치된 소프트웨어를 완전히 제어 할 수 있습니다.

업데이트 : 첫 번째 답변 후에 이것을 추가했습니다. 이러한 사용자는 은행 소프트웨어의 시스템 및 개발자의 초보자, 지원자이며 일부는 sudo 권한이 필요합니다. 소스 목록 추가와 같은 예외가 신속하게 포착되도록 알려진 준비된 위치에서 항목을 설치하는 것과 같은 다른 조치는보고되지 않습니다.

사용자 정의 설치에서 당신은 수정할 수있는 /etc/sudoers사용자 실행이 허용되도록 파일을 sudo apt update하고 sudo apt install있지만 다른 명령으로 시작하지 않습니다 apt. 물론, 당신은 또한 제한 sudo bash(또는 다른 쉘)해야합니다.

지금까지 본 거의 모든 상점에서 개발자는 개발 시스템에 완전히 액세스 할 수 있었지만 이러한 시스템은 인터넷과 소스 코드 저장소에만 액세스 할 수있었습니다.

소스 코드는 신뢰할 수있는 컴퓨터 (일반적으로 개발자에게 관리 권한이 없거나 필요하지 않음)에서 체크인 및 컴파일 된 다음 내부 네트워크에 액세스 할 수있는 시스템을 테스트하기 위해 배포됩니다.

이러한 머신을 개발자가 사용하는지 또는 별도의 테스트 팀이 사용 하느냐는 조직에 달려 있습니다. 그러나 일반적으로 신뢰할 수있는 머신과 신뢰할 수없는 머신의 경계는 별도의 머신 사이이며 인터페이스는 검증 가능합니다 (예 : 소스 코드 커밋).

프론트 데스크 직원에게는 관리 권한이 없습니다. 우리가이 모든 머신에 솔리테어를 배치했을 때이 정책에 대한 불만은 거의 멈췄습니다.