Linux：无需 root 权限即可开展工作的系统管理员（保护知识产权）？

Question 1

您所谈论的就是所谓的“邪恶系统管理员”风险。简而言之就是：

系统管理员是具有提升权限的人
技术熟练，达到可以成为一名优秀“黑客”的水平。
在异常场景中与系统交互。

这些因素的结合使得阻止恶意行为变得几乎不可能。甚至审计也变得困难，因为没有“正常”的事物可以与之比较。（坦率地说 - 一个有缺陷的系统很可能也会有缺陷的审计）。

有很多缓解措施：

权限分离 - 你不能阻止一个有 root 权限的人做任何事物在系统上。但是你可以让一个团队负责网络，另一个团队负责“操作系统”（或分别负责 Unix/Windows）。
将工具包的物理访问权限限制给没有管理员帐户的不同团队……但会负责所有的“手工”工作。
分离“桌面”和“服务器”职责。配置桌面以阻止数据删除。桌面管理员无权访问敏感信息，服务器管理员可以窃取这些信息，但必须费尽周折才能将其带出大楼。
对受限制访问系统进行审计 -syslog以及对他们没有特权访问的相对防篡改系统进行事件级审计。但收集信息是不够的，你需要监控它 - 坦率地说，有很多方法可以“窃取”可能不会出现在审计雷达上的信息。（偷猎者与猎场看守人）
应用“静态”加密，因此数据不会“明文”存储，需要实时系统才能访问。这意味着具有物理访问权限的人无法访问未主动监控的系统，并且在系统管理员正在处理的“异常”情况下，数据暴露较少。（例如，如果数据库不工作，数据可能无法读取）
双人规则 - 如果您不介意自己的生产力和士气受到削弱的话。（认真地说 - 我见过这种情况，持续的工作和被监视的状态使工作条件变得极其困难）。
审查你的系统管理员——不同国家可能存在不同的记录检查。（犯罪记录检查，你可能在某些情况下，你甚至可以申请安全许可，这将触发审查）
照顾好你的系统管理员——你最不想做的事情就是告诉一个“值得信任”的人你不信任他们。你当然不想损害士气，因为那增加恶意行为的可能性（或“不完全是疏忽，但警惕性下降”）。但要根据责任和技能支付报酬。并考虑“福利”——比工资便宜，但可能更有价值。比如每周一次免费咖啡或披萨。
您也可以尝试应用合同条件来抑制它，但要警惕上述情况。

但从根本上讲，你需要接受这是一个信任问题，而不是技术问题。由于这场完美风暴，你的系统管理员对你来说永远都是潜在的危险。

Answer

您所谈论的就是所谓的“邪恶系统管理员”风险。简而言之就是：

系统管理员是具有提升权限的人
技术熟练，达到可以成为一名优秀“黑客”的水平。
在异常场景中与系统交互。

这些因素的结合使得阻止恶意行为变得几乎不可能。甚至审计也变得困难，因为没有“正常”的事物可以与之比较。（坦率地说 - 一个有缺陷的系统很可能也会有缺陷的审计）。

有很多缓解措施：

权限分离 - 你不能阻止一个有 root 权限的人做任何事物在系统上。但是你可以让一个团队负责网络，另一个团队负责“操作系统”（或分别负责 Unix/Windows）。
将工具包的物理访问权限限制给没有管理员帐户的不同团队……但会负责所有的“手工”工作。
分离“桌面”和“服务器”职责。配置桌面以阻止数据删除。桌面管理员无权访问敏感信息，服务器管理员可以窃取这些信息，但必须费尽周折才能将其带出大楼。
对受限制访问系统进行审计 -syslog以及对他们没有特权访问的相对防篡改系统进行事件级审计。但收集信息是不够的，你需要监控它 - 坦率地说，有很多方法可以“窃取”可能不会出现在审计雷达上的信息。（偷猎者与猎场看守人）
应用“静态”加密，因此数据不会“明文”存储，需要实时系统才能访问。这意味着具有物理访问权限的人无法访问未主动监控的系统，并且在系统管理员正在处理的“异常”情况下，数据暴露较少。（例如，如果数据库不工作，数据可能无法读取）
双人规则 - 如果您不介意自己的生产力和士气受到削弱的话。（认真地说 - 我见过这种情况，持续的工作和被监视的状态使工作条件变得极其困难）。
审查你的系统管理员——不同国家可能存在不同的记录检查。（犯罪记录检查，你可能在某些情况下，你甚至可以申请安全许可，这将触发审查）
照顾好你的系统管理员——你最不想做的事情就是告诉一个“值得信任”的人你不信任他们。你当然不想损害士气，因为那增加恶意行为的可能性（或“不完全是疏忽，但警惕性下降”）。但要根据责任和技能支付报酬。并考虑“福利”——比工资便宜，但可能更有价值。比如每周一次免费咖啡或披萨。
您也可以尝试应用合同条件来抑制它，但要警惕上述情况。

但从根本上讲，你需要接受这是一个信任问题，而不是技术问题。由于这场完美风暴，你的系统管理员对你来说永远都是潜在的危险。

Question 2

到目前为止，这里所说的一切都是好东西，但有一种“简单”的非技术性方法可以帮助否定流氓系统管理员 -四眼原则这基本上要求任何提升的访问权限都需要两个系统管理员在场。

编辑：我在评论中看到的两个最大的问题是讨论成本和勾结的可能性。我认为避免这两个问题的最大方法之一是使用托管服务公司，该公司仅用于验证所采取的行动。如果做得好，技术人员就不会互相认识。假设 MSP 拥有技术实力，那么签署所采取的行动就很容易了……甚至可能像对任何邪恶行为的“是”或“否”一样简单。

Answer

到目前为止，这里所说的一切都是好东西，但有一种“简单”的非技术性方法可以帮助否定流氓系统管理员 -四眼原则这基本上要求任何提升的访问权限都需要两个系统管理员在场。

编辑：我在评论中看到的两个最大的问题是讨论成本和勾结的可能性。我认为避免这两个问题的最大方法之一是使用托管服务公司，该公司仅用于验证所采取的行动。如果做得好，技术人员就不会互相认识。假设 MSP 拥有技术实力，那么签署所采取的行动就很容易了……甚至可能像对任何邪恶行为的“是”或“否”一样简单。

Question 3

如果人们确实需要系统的管理员访问权限，那么您几乎无法限制他们在该系统上的活动。

大多数组织的做法是信任但要验证- 你可能授予人们访问系统部分内容的权限，但你使用指定的管理员账户（例如，你不授予他们直接访问根)，然后将他们的活动审计到他们无法干扰的日志中。

这里有一个平衡问题；你可能需要保护你的系统，但你也需要信任人们能够做好他们的工作。如果公司以前被不道德的员工“坑过”，那么这可能表明公司的招聘做法在某种程度上很糟糕，而这些做法可能是由“高层管理人员”创造的。信任始于内部；他们正在做什么来修正他们的招聘选择？

Answer

如果人们确实需要系统的管理员访问权限，那么您几乎无法限制他们在该系统上的活动。

大多数组织的做法是信任但要验证- 你可能授予人们访问系统部分内容的权限，但你使用指定的管理员账户（例如，你不授予他们直接访问根)，然后将他们的活动审计到他们无法干扰的日志中。

这里有一个平衡问题；你可能需要保护你的系统，但你也需要信任人们能够做好他们的工作。如果公司以前被不道德的员工“坑过”，那么这可能表明公司的招聘做法在某种程度上很糟糕，而这些做法可能是由“高层管理人员”创造的。信任始于内部；他们正在做什么来修正他们的招聘选择？

Question 4

这类似于为建筑物雇用一名看门人所面临的挑战。看门人拥有所有钥匙，可以打开任何门，但原因是看门人需要他们来完成工作。系统管理员也是如此。我们可以对称地思考这个古老的问题，并看看历史上授予信任的方式。

虽然没有明确的技术解决方案，但事实上没有解决方案不应该成为我们不去尝试的理由，不完善的解决方案的集合可以产生相当好的结果。

赢得信任的模式：

首先授予较少的权限
逐渐增加权限
放置蜜罐并监控未来几天发生的事情
如果系统管理员报告它而不是试图滥用它，那是一个好的开始

落实多级行政权力：

级别 1：可以修改较低层的配置文件
级别 2：可以修改稍高级别的配置文件
级别 3：可以修改稍高级别的配置文件和操作系统设置

始终创建一个人无法完全访问的环境：

将系统拆分成集群
赋予不同组集群管理权限
至少 2 组

进行高层核心变更时使用双人规则：

https://en.wikipedia.org/wiki/Two-man_rule
需要 cluster1 和 cluster2 的管理员来进行核心更改

信任并验证：

记录一切
日志监控与报警
确保所有操作均可区分

文书工作：

让他们签署文件，让法律系统能够帮助你，如果他们伤害了你，可以起诉他们，这会让你更有动力不这样做

Answer