Права и минимално администриране @@OMSCHRИПЦИЯ@@

Модул 7: Достъп, доставчици и облак · Време за четене: 10 минути

Учебна цел: След този урок ще можете да организирате правата на достъп според принципа „колкото е възможно по-малко“: всеки със собствен акаунт, администраторските права отделно, външните партньори с временен и ограничен достъп, и постоянен подход за случаите, когато някой постъпва на работа, сменя длъжност или напуска.
Основни понятия: least privilege, личен акаунт, споделен акаунт, администраторски акаунт, разделение на задълженията, постъпване, преминаване и напускане, преглед на достъпа

Принципът: колкото е възможно по-малко

Least privilege (на български: минимално необходими права) означава, че всеки получава точно толкова достъп, колкото е нужен за работата му, и не повече. NIST описва това като принцип, при който потребителите имат само правата, които са минимално необходими за техните задачи.

Защо е важно това? Защото всеки акаунт рано или късно може да бъде превзет: чрез фишинг (модул 3), изтекла парола (урок 1.4) или заразен лаптоп. Това, което нападателят може да направи тогава, зависи изцяло от правата на този акаунт. Акаунтът на стажант, който се занимава само със социални мрежи, дава малко възможности. Акаунтът на някой, който „за удобство“ е администратор навсякъде, дава всичко: пощата, плащанията, уебсайта, резервните копия.

Минималните права следователно не намаляват вероятността за пробив, но намаляват щетите. Това е същата идея както при ключовете на сграда: чистачката има ключ от входната врата, не от сейфа.

Всеки със собствен акаунт

Споделеният акаунт е акаунт, в който няколко души влизат с една и съща парола: „всички използваме info@example.com, за да влизаме в счетоводната програма“. Звучи практично, но има четири големи недостатъка:

1. Не знаете кой какво е направил. В лога стои само „info“. Ако е променено плащане, не можете да проверите от кого.
2. Не можете да изключите само един човек. Ако някой напусне, трябва да смените паролата за всички, а на практика това често не се случва.
3. Двуфакторното удостоверяване работи зле. Кодът пристига на един телефон, затова 2FA бива изключвано или кодът се препраща на всички.
4. Паролата циркулира чрез WhatsApp, бележки и имейл, и по този начин престава да бъде тайна.

Личният акаунт решава всичко това: собствен вход, собствено 2FA, собствен лог, може да бъде изключен поотделно. Почти всяка бизнес услуга поддържа няколко потребители със собствени права. Споделен имейл адрес като info@ спокойно може да продължи да съществува като адрес; просто дайте достъп до него на хората, които го четат, чрез техния собствен акаунт, ако пощенската Ви система поддържа това.

Администраторските права отделно

Администраторският акаунт може да създава потребители, да променя права, да изменя настройки и често също да изтрива данни. Именно затова го използвате възможно най-рядко.

• Работете ежедневно с обикновен акаунт и влизайте като администратор само когато трябва да администрирате нещо. Това важи и за Вашия лаптоп (урок 5.2).
• Осигурете поне двама души с администраторски права за най-важните услуги, или добре съхраняван резервен акаунт. Ако единственият администратор е болен или отсъства, оставате блокирани.
• Но също и не повече от необходимото. Петима администратори във фирма с осем души са четирима прекалено много.
• Включете двуфакторно удостоверяване за всеки администраторски акаунт, за предпочитане устойчиво на фишинг (урок 2.4).

Разделението на задълженията отива още една крачка напред: един човек не трябва сам да извършва чувствително действие от началото до края. Най-известният пример видяхте в урок 1.2: който въвежда нов IBAN на доставчик, не одобрява сам и плащането. В малка фирма това може да се организира просто: единият подготвя плащането, другият го одобрява в банковото приложение.

Външни партньори: временно и ограничено

Уебразработчици, счетоводители, ИТ фирми и свободни специалисти често се нуждаят от достъп. Класическата грешка е да им дадете собствената си парола. Тогава те могат да правят всичко, което можете и Вие, а след приключването на работата вече не знаете кой все още има достъп.

По-добре:

• Дайте собствен акаунт само с необходимите права. На счетоводителя му е достатъчен достъп до фактурите; на уебразработчика, до файловете на един сайт.
• Предоставяйте достъп с крайна дата, ако става въпрос за конкретна задача. Много системи могат автоматично да изтекат акаунт или ключ.
• Ограничавайте, където е възможно, от коя мрежа някой има право да влиза.
• Записвайте кой има какъв външен достъп и защо.

Постъпване, преминаване и напускане

Правата се натрупват сами. Някой започва в продажбите, помага няколко месеца в администрацията и след това преминава в производството. Ако никой не следи това, след две години този човек има правата и на трите длъжности. Затова уреждате правата в три момента:

При напускане редът е важен. Първо предаване, после изключване, по-късно изтриване. Ако изтриете акаунт веднага, при много услуги изчезват и файловете, календарите и пощата на този човек. При някои облачни услуги това е окончателно след кратък срок: Microsoft 365 съхранява OneDrive на изтрит потребител по подразбиране 30 дни, според собствената им документация. Изключването запазва данните и само затваря достъпа.

При напускане не забравяйте също: правилата за препращане, които човекът е настроил (урок 2.5), паролите за приложения, достъпа до банковото приложение, социалните мрежи и регистъра на Вашия домейн, както и ключовете или пропуските за сградата.

Прегледът на достъпа

Прегледът на достъпа е проста таблица: за всяка услуга кой има достъп, с какви права, и дали е собствен или външен акаунт. Преглеждайте този списък поне два пъти годишно и винаги след напускане на служител. За всеки ред си задавате един въпрос: има ли нужда този човек от това днес?

На практика: ето как изглежда

В примерната среда Моят WebOké поканвате колега, счетоводител или уебразработчик като потребител. Той влиза със собствени данни, а Вие отбелязвате за всяко право какво има право да прави, например само Фактури за счетоводителя. Само собственикът на акаунта може да кани потребители и да променя права, и с един бутон можете отново да оттеглите достъпа. В DirectAdmin можете да дадете на уебразработчик собствен FTP акаунт само за една папка, или ключ за вход с крайна дата, ограничени команди и достъп само от определени IP адреси.

В Nextcloud, при напускащ колега, първо избирате Disable: той вече не може да влиза, но файловете остават запазени. Ръководството е ясно: изтривайте потребителя едва след като всичко е предадено, защото изтрит потребител изчезва окончателно заедно с всичките си файлове. В други системи това работи по сходен начин, но имената и сроковете се различават; проверете предварително, преди някой да напусне.

Обобщение

• Минималните права ограничават щетите, когато акаунт бъде превзет.
• Всеки със собствен акаунт: така знаете кой какво е направил и можете да изключите само него.
• Администраторските права използвате само когато е необходимо, за малък брой хора, със силно 2FA.
• Външните партньори получават собствен, ограничен и, където е възможно, временен акаунт, никога Вашата парола.
• Уреждайте правата при постъпване, преминаване и напускане; при напускане: предаване, изключване, по-късно изтриване.

Тест (quiz)

Задача

Задача A7.1: Кой получава какъв достъп? Ще получите поредица от ситуации от малка фирма (нов счетоводител, уебразработчик за конкретна задача, напускащ колега, стажант). За всяка ситуация изберете най-добрия начин за предоставяне или прекратяване на достъп. Програмата проверява избора Ви и обяснява защо.

Задача D7.1: Вашата инвентаризация на достъпа. Направете преглед на достъпа за петте Ви най-важни услуги: кой има достъп, с какви права, собствен или споделен акаунт, вътрешен или външен. Премахнете поне едно излишно право или споделен акаунт и напишете списъка си за напускане за следващия път, когато някой напусне.

Прочетете още

Стъпките в статиите на WebOké важат за средата на WebOké; при други доставчици процесът е подобен.

• Ръководство на WebOké 11.3: Покана на потребители и предоставяне на права
• Nextcloud наръчник 14.2: Създаване, редактиране, изключване и изтриване на потребители
• Nextcloud наръчник 14.7: Права: кой какво управлява във Вашия Nextcloud?
• Nextcloud наръчник 16.7: Колега напуска фирмата: безопасно поемане на файлове, календар и споделени папки
• Ръководство за DirectAdmin 3.5: Login Keys: вход за скриптове и програми
• Ръководство за DirectAdmin 11.6: FTP акаунти: създаване и управление
• NIST, Glossary: least privilege (на английски): https://csrc.nist.gov/glossary/term/least_privilege
• Microsoft, OneDrive retention and deletion (на английски): https://learn.microsoft.com/en-us/sharepoint/retention-and-deletion