LinuxとWindowsの両方で特権アカウントをどのように保護する必要がありますか？
私は最近、中規模の企業でアプリケーションセキュリティの仕事を始め、セキュリティコンサルティング（ペネトレーションテストなど）の5年以上から移行しました。ここで最初から見た最大の課題の1つは、セキュリティスキャナーやその他のツールがroot/Administratorアクセスを使用することです。これは、おそらく構成が簡単なために、ベンダーが使用するように指示したためです。私はこの考えが本当に好きではありません。たとえば、NexposeとNessusはどちらもrootとAdministratorを使用するように構成されています。
私の質問-これらの特権アカウントへのアクセスを管理するためのベストプラクティスは何ですか？私の最初の考えは、システムへのパスワードだけを知っているタイプのパスワードボールトシステムを持つことです。そうすれば、ユーザーは必要に応じてroot/Administratorパスワードを「チェックアウト」できます。特にNessusの場合、rootとして実行されるコマンドはごくわずかなので、標準ユーザーを作成して追加するだけで意味があると思います。 sudoersは、これらの特定のコマンドのみを許可しながらファイルします。
ありがとう！
一元化されたグループまたはユーザーマネージャーを探している場合、これを実現するための多くの商用アプリがあります。
Linuxボックスで、rootとしてのログインを無効にし、ユーザーが自分でログインできるようにします。ボックスがLDAPまたはADに対して認証されている場合、そのようなトランザクションの記録があります。それでも、そのユーザーにボックスに対する特定の権限を与える必要があります。ボックスにログインしたSudoを使用すると、監査と追跡も簡単になります。
あなたの会社がどのように構成され、分割されているかを知らないと、質問に答えるのが難しくなります。セキュリティ、サーバー管理者、アプリケーションマネージャーは、私が雇用されている別々の部門です。アプリマネージャーには、サーバー管理者だけが実行できるこのようなツールを実行するための管理者権限はありません。サーバー管理者は、ボックスでローカルアカウントを追加/削除/削除できますが、AD/LDAPを変更することはできません。セキュリティはすべてのサーバーを監査して、特定のボックスにあるローカルアカウントを取得し、使用を正当化する必要があります。
一般的なユーザーログインを使用すると、問題の原因を特定する方法がなく、システムが大きく開いたままになる可能性があります。それをすべてロックし、必要に応じてアクセスを許可してから、人々が正直で新しいものを台無しにすることを想定することをお勧めします。それはあなたにとってより多くの仕事ですが、それはあなたが夜によりよく眠ることを可能にします。さらに重要なことは、サーバーの1つが危険にさらされていることに気づき、CIOがその理由を知りたがるまで、あなたは生きたことがないということです。
私の現在の雇用主のサイトでは、実施されている多くのセキュリティ対策の1つが、すべてのアクティビティを記録する特権セッションモニターを使用してのみアクセスできるガラス張りのアカウントです。
特定のシステムでは、すべての特権アカウントのパスワード管理が外部のパスワードボールトアプリケーションに渡され、管理者でさえroot/Administrator/DB-ownerなどのパスワードを知りません。
明確に定義されたRBACが不十分で、root/Administrator/etcである場合。アクセスが必要な場合、管理者はアクセスを要求します。セキュリティ運用チームによる承認後（4つの目での原則、変更/インシデント番号を含む監査証跡）、パスワードボールトを介してSSHまたはRDPがボールトからの正しい資格情報で開始されます。管理者は、ボールトに保存されているパスワードのクリアテキストコピーを受け取りません。 SSHまたはRDPセッションを監視して、目的の監査証跡として記録することができます。セッションが閉じられた後、ボールトアプリケーションはパスワードを再度変更します。
もちろん、このような手順の実際のセキュリティは、構成管理の品質とセキュリティの意識、イベントの監視、および運用チームの一般的な成熟度に大きく依存します。
あなたが実行するリスク（実際には現実）は、インシデントの解決やスケジュールされた作業でさえもかなり長い時間がかかることですが、少なくともその理由の優れた監査証跡があります！