Modul 7 · 7.1
Pravice in najmanjši potreben obseg upravljanja
Modul 7: Dostop, dobavitelji in oblak · Čas branja: 10 minut
Cilj lekcije: Po tej lekciji boste znali urediti pravice po načelu "čim manj": vsak ima svoj račun, pravice administratorja so ločene, zunanje stranke imajo začasen in omejen dostop, zaposlitev, premestitev in odhod pa potekajo po ustaljenem postopku.
Ključni pojmi: najmanjši potreben obseg pravic (least privilege), osebni račun, skupni račun, administratorski račun, ločevanje funkcij, zaposlitev, premestitev in odhod, pregled dostopov
Načelo: čim manj
Najmanjši potreben obseg pravic (angleško: least privilege) pomeni, da vsak dobi natanko toliko dostopa, kolikor ga potrebuje za svoje delo, in nič več. NIST to opredeljuje kot načelo, po katerem imajo uporabniki le tiste pravice, ki so nujno potrebne za opravljanje njihovih nalog.
Zakaj je to pomembno? Ker lahko vsak račun prej ali slej prevzame nekdo drug: s pomočjo lažnega predstavljanja (modul 3), uhajanja gesla (lekcija 1.4) ali okuženega prenosnika. Kaj lahko napadalec s takim računom naredi, je v celoti odvisno od pravic tega računa. Račun pripravnika, ki ureja samo družbena omrežja, prinaša malo. Račun nekoga, ki je "zaradi praktičnosti" povsod administrator, pa prinaša vse: e-pošto, plačila, spletno stran, varnostne kopije.
Najmanjši obseg pravic torej ne zmanjša verjetnosti vdora, zmanjša pa škodo, ki iz njega izhaja. Gre za enako logiko kot pri ključih stavbe: čistilka ima ključ od vhodnih vrat, ne pa od blagajne.
Vsak svoj račun
Skupni račun je račun, v katerega se z istim geslom prijavlja več ljudi: "vsi uporabljamo info@example.com za prijavo v računovodski program". Zdi se praktično, vendar ima štiri velike pomanjkljivosti:
- Ne veste, kdo je kaj naredil. V dnevniku dogodkov piše samo "info". Če je bilo spremenjeno plačilo, ne morete ugotoviti, kdo je to storil.
- Nikogar ne morete posamično izključiti. Če nekdo odide, morate geslo zamenjati za vse, kar se v praksi pogosto ne zgodi.
- Dvostopenjsko preverjanje slabo deluje. Koda pride na en sam telefon, zato se 2FA izklopi ali pa se koda pošilja naokrog.
- Geslo kroži prek WhatsAppa, listkov in e-pošte, zato ni več tajno.
Osebni račun vse to reši: lastna prijava, lasten 2FA, lasten dnevnik dogodkov, možnost posamičnega izključevanja. Skoraj vsaka poslovna storitev podpira več uporabnikov z lastnimi pravicami. Skupni e-poštni naslov, kot je info@, lahko mirno ostane kot naslov; ljudem, ki ga berejo, pa omogočite dostop prek njihovega lastnega računa, če to Vaš poštni sistem podpira.
Pravice administratorja ločeno
Administratorski račun lahko ustvarja uporabnike, spreminja pravice, spreminja nastavitve in pogosto tudi briše podatke. Prav zato ga uporabljajte čim manj.
- Vsak dan delajte z navadnim računom in se kot administrator prijavite le takrat, ko morate nekaj upravljati. To velja tudi za Vaš prenosnik (lekcija 5.2).
- Poskrbite za vsaj dve osebi s pravicami administratorja pri najpomembnejših storitvah, ali za dobro shranjen rezervni (nujni) račun. Če je edini administrator bolan ali odsoten, boste obtičali.
- Vendar tudi ne več, kot je potrebno. Pet administratorjev v podjetju z osmimi zaposlenimi je štirje preveč.
- Na vsakem administratorskem računu vklopite dvostopenjsko preverjanje, po možnosti odporno na lažno predstavljanje (lekcija 2.4).
Ločevanje funkcij gre še korak dlje: ena oseba ne sme sama od začetka do konca izvesti občutljivega dejanja. Najbolj znan primer ste videli v lekciji 1.2: kdor vnese nov IBAN dobavitelja, plačila ne odobri tudi sam. V majhnem podjetju je to lahko preprosto: ena oseba pripravi plačilo, druga ga odobri v bančni aplikaciji.
Zunanje stranke: začasno in omejeno
Spletni razvijalci, računovodje, IT-podjetja in samostojni sodelavci pogosto potrebujejo dostop. Klasična napaka je, da jim date svoje lastno geslo. Tako lahko počnejo vse, kar lahko Vi, po koncu sodelovanja pa ne veste več, kdo vse še ima dostop.
Bolje je:
- Dajte jim lasten račun samo s pravicami, ki jih potrebujejo. Računovodji zadostuje dostop do računov; spletnemu razvijalcu do datotek ene same spletne strani.
- Dostop dodelite z datumom prenehanja, če gre za določeno nalogo. Veliko sistemov lahko račun ali ključ samodejno onemogoči po preteku roka.
- Kjer je mogoče, omejite, iz katerega omrežja se sme nekdo prijaviti.
- Zabeležite, kdo ima kakšen zunanji dostop in zakaj.
Zaposlitev, premestitev in odhod
Pravice same od sebe rastejo. Nekdo začne v prodaji, nekaj mesecev pomaga pri administraciji in nato preide v proizvodnjo. Če nihče ne pazi, ima ta oseba po dveh letih pravice vseh treh funkcij. Zato pravice uredite ob treh trenutkih:
| Trenutek | Kaj storite |
|---|---|
| Zaposlitev (nov sodelavec) | Ustvarite lasten račun s pravicami, ki ustrezajo funkciji, takoj vklopite 2FA, razložite, kje kaj najde |
| Premestitev (druga funkcija) | Dodajte nove pravice IN odstranite stare |
| Odhod (prenehanje dela) | Zadnji delovni dan onemogočite račune, prekličite seje na napravah, zamenjajte skupna gesla, prenesite datoteke |
Pri odhodu je vrstni red pomemben. Najprej prenesite, nato onemogočite, šele kasneje izbrišite. Če račun takoj izbrišete, pri marsikateri storitvi izginejo tudi datoteke, koledarji in e-pošta te osebe. Pri nekaterih oblačnih storitvah je to po kratkem roku dokončno: Microsoft 365 po lastni dokumentaciji privzeto hrani OneDrive izbrisanega uporabnika 30 dni. Onemogočanje ohrani podatke in zapre dostop.
Ob odhodu ne pozabite tudi na: pravila za preusmerjanje, ki jih je oseba nastavila (lekcija 2.5), gesla za aplikacije, dostop do bančne aplikacije, družbenih omrežij in registrarja Vaše domene, ter ključe ali kartice za vstop v prostore.
Pregled dostopov
Pregled dostopov je preprosta tabela: za vsako storitev, kdo ima dostop, s katerimi pravicami, ter ali gre za lasten ali zunanji račun. Ta seznam preglejte vsaj dvakrat letno in vedno po odhodu zaposlenega. Pri vsaki vrstici si zastavite eno vprašanje: ali ta oseba to danes še potrebuje?
V praksi: tako je videti
V preizkusnem okolju Moj WebOké povabite sodelavca, računovodjo ali spletnega razvijalca kot uporabnika. Ta se prijavi s svojimi podatki, Vi pa pri posameznih pooblastilih označite, kaj sme početi, na primer samo Računi za računovodjo. Pravice lahko spreminja in uporabnike vabi le lastnik računa, dostop pa z enim klikom znova prekličete. V DirectAdmin lahko spletnemu razvijalcu dodelite lasten FTP-račun za eno samo mapo ali prijavni ključ z datumom veljavnosti, omejenimi ukazi in dostopom samo z določenih IP-naslovov.
V Nextcloud pri sodelavcu, ki odhaja, najprej izberete Onemogoči: ta se ne more več prijaviti, datoteke pa ostanejo ohranjene. Navodila so jasna: uporabnika izbrišite šele, ko je vse prevzeto, saj je izbrisan uporabnik skupaj z vsemi svojimi datotekami dokončno izginil. Pri drugih sistemih deluje podobno, vendar se imena in roki razlikujejo; preverite jih, preden nekdo odide.
Povzetek
- Najmanjši obseg pravic omeji škodo, če nekdo prevzame nadzor nad računom.
- Vsak naj ima svoj račun: tako veste, kdo je kaj naredil, in lahko nekoga posamično izključite.
- Pravice administratorja uporabljajte le, kadar je to potrebno, za majhno število ljudi, z močnim 2FA.
- Zunanje stranke naj dobijo lasten, omejen in kjer je mogoče začasen račun, nikoli Vašega gesla.
- Pravice uredite ob zaposlitvi, premestitvi in odhodu; ob odhodu: prenesite, onemogočite, šele kasneje izbrišite.
Kviz
Naloga
Naloga A7.1: Kdo dobi kakšen dostop? Prikazanih Vam bo več situacij iz majhnega podjetja (nov računovodja, spletni razvijalec za določen projekt, sodelavec, ki odhaja, pripravnik). Za vsako situacijo izberite najboljši način za dodelitev ali odvzem dostopa. Program preveri Vašo izbiro in pojasni razlog.
Naloga D7.1: Vaš popis dobaviteljev. Pripravite pregled dostopov za Vaših pet najpomembnejših storitev: kdo ima dostop, s katerimi pravicami, lasten ali skupni račun, notranji ali zunanji. Odstranite vsaj eno odvečno pravico ali skupni račun in zapišite svoj seznam korakov za odhod, ki ga boste uporabili naslednjič, ko bo nekdo odšel.
Naloga D7.1: Vaš pregled dostopov
Postopek: (1) Izberite svojih pet najpomembnejših storitev (na primer e-pošto, knjigovodstvo, banko, nadzorno ploščo gostovanja, shrambo v oblaku, registrarja svoje domene). (2) Za vsako storitev izdelajte pregled: kdo ima dostop (vloga, imena niso potrebna), katere pravice, lasten ali skupen račun, interni ali zunanji, ali je vklopljeno dvostopenjsko preverjanje, datum zadnje prijave, če ga storitev prikazuje. (3) V vsaki storitvi poiščite seznam uporabnikov in ga primerjajte s svojim pregledom. Zabeležite razlike. (4) Odstranite vsaj eno odvečno pravico, en star račun ali en skupen račun, ali skupen račun nadomestite z osebnimi računi. (5) Za vsako storitev preverite, koliko je skrbnikov; stremite k dvema. (6) Napišite svoj seznam za odhod: kaj naredite na zadnji delovni dan nekoga (onemogočite račune, prekličete seje, preverite pravila za posredovanje pošte in gesla za aplikacije, spremenite skupna gesla, predate datoteke, banko, socialna omrežja, registrarja, ključe in kartice). (7) Vnesite v koledar ponavljajoč se dogodek (dvakrat letno) za pregled seznama.
Vaše kljukice in zapiski ostanejo samo v tem brskalniku, nikamor jih ne pošiljamo. Če ste prijavljeni, v Moji tečaji shranimo samo podatek, da ste nalogo opravili.
Za dodatno branje
Koraki v člankih WebOké veljajo za okolje WebOké; pri drugih ponudnikih deluje podobno.
- Priročnik WebOké 11.3: Vabljenje uporabnikov in dodeljevanje pravic
- Priročnik za Nextcloud 14.2: Ustvarjanje, urejanje, onemogočanje in brisanje uporabnikov
- Priročnik za Nextcloud 14.7: Pravice: kdo upravlja kaj v Vašem Nextcloud?
- Priročnik za Nextcloud 16.7: Znanec odhaja: varen prevzem datotek, koledarja in map v souporabi
- Priročnik DirectAdmin 3.5: Prijavni ključi: prijava za skripte in programe
- Priročnik DirectAdmin 11.6: Računi FTP ustvarjanje in upravljanje
- NIST, Glossary: least privilege (v angleščini): https://csrc.nist.gov/glossary/term/least_privilege
- Microsoft, OneDrive retention and deletion (v angleščini): https://learn.microsoft.com/en-us/sharepoint/retention-and-deletion