To jest naprawdę bardzo trudne. Wymaga to bardzo kompletnego audytu. Jeśli jesteś pewien, że starsza osoba zostawiła za sobą coś, co wybuchnie lub będzie wymagać ponownego zatrudnienia, ponieważ tylko oni mogą ugasić pożar, czas założyć, że zostałeś zrootowany impreza wroga. Potraktuj to tak, jakby grupa hakerów weszła i ukradła rzeczy, a po ich bałaganie musisz posprzątać. Bo tak to jest.
- Kontroluj każde konto w każdym systemie, aby upewnić się, że jest ono powiązane z konkretnym podmiotem.
- Konta, które wydają się być powiązane z systemami, ale nikt nie może ich rozliczać, nie można ufać.
- Konta, które nie są z niczym związane, muszą zostać usunięte (i tak należy to zrobić, ale w tym przypadku jest to szczególnie ważne)
- Zmień dowolne hasło, z którym mogliby się zetknąć.
- Może to stanowić poważny problem dla kont narzędziowych, ponieważ hasła te są często zakodowane na stałe.
- Jeśli byli typem pomocy technicznej odpowiadającym na połączenia użytkowników końcowych, załóżmy, że mają hasło każdego, komu pomogli.
- Jeśli mieli Administratora przedsiębiorstwa lub Administratora domeny w usłudze Active Directory, załóżmy, że wzięli kopię skrótu hasła przed wyjazdem. Można je teraz złamać tak szybko, że zmiana hasła w całej firmie będzie musiała zostać wymuszona w ciągu kilku dni.
- Jeśli mieli dostęp do roota do dowolnego * nix boxa, załóżmy, że odeszli z hashami hasła.
- Przejrzyj użycie klucza SSH z kluczem publicznym, aby upewnić się, że ich klucze zostały wyczyszczone, i sprawdź, czy klucze prywatne zostały ujawnione, gdy jesteś przy nim.
- Jeśli mieli dostęp do dowolnego sprzętu telekomunikacyjnego, zmień dowolne hasło routera / przełącznika / bramy / PBX. To może być naprawdę królewski ból, ponieważ może to wiązać się z poważnymi awariami.
- W pełni skontroluj swoje ustalenia dotyczące bezpieczeństwa obwodowego.
- Upewnij się, że wszystkie otwory zapory śledzą znane autoryzowane urządzenia i porty.
- Upewnij się, że wszystkie metody zdalnego dostępu (VPN, SSH, BlackBerry, ActiveSync, Citrix, SMTP, IMAP, WebMail itp.) Nie mają włączonego dodatkowego uwierzytelnienia, i sprawdź je w pełni pod kątem nieautoryzowanych metod dostępu.
- Upewnij się, że zdalne łącza WAN śledzą osoby w pełni zatrudnione i zweryfikuj je. Zwłaszcza połączenia bezprzewodowe. Nie chcesz, żeby odeszli z firmowym modemem komórkowym lub smartfonem. Skontaktuj się ze wszystkimi użytkownikami, aby upewnić się, że mają odpowiednie urządzenie.
- W pełni kontroluj wewnętrzne ustalenia dotyczące uprzywilejowanego dostępu. Są to takie rzeczy, jak dostęp SSH / VNC / RDP / DRAC / iLO / IMPI do serwerów, których nie mają zwykli użytkownicy, lub jakikolwiek dostęp do wrażliwych systemów, takich jak lista płac.
- Współpracuj ze wszystkimi zewnętrznymi dostawcami i usługodawcami, aby upewnić się, że kontakty są prawidłowe.
- Upewnij się, że zostały usunięte ze wszystkich list kontaktów i usług. Należy to zrobić po każdym wyjeździe, ale jest to teraz bardzo ważne.
- Sprawdź, czy wszystkie kontakty są prawidłowe i mają poprawne informacje kontaktowe, w celu znalezienia duchów, które można podszyć.
- Zacznij polować na bomby logiczne.
- Sprawdź całą automatyzację (harmonogramy zadań, zadania crona, listy wywołań UPS lub cokolwiek, co działa zgodnie z harmonogramem lub jest wyzwalane zdarzeniem) pod kątem oznak zła. Przez „wszystko” mam na myśli wszystko. Sprawdź każdy crontab. Sprawdź każdą automatyczną akcję w systemie monitorowania, w tym same sondy. Sprawdź każdy Harmonogram zadań systemu Windows; nawet stacje robocze. Jeśli nie pracujesz dla rządu w bardzo wrażliwym obszarze, nie będziesz w stanie pozwolić sobie na „wszystko”, rób tyle, ile możesz.
- Sprawdź poprawność systemowych plików binarnych na każdym serwerze, aby upewnić się, że są takie, jakie powinny być. Jest to trudne, szczególnie w systemie Windows, i prawie niemożliwe jest działanie wstecz w systemach jednorazowych.
- Zacznij polować na rootkity. Z definicji trudno je znaleźć, ale są na to skanery.
Nie jest to wcale łatwe, nawet zdalnie zamknięte. Usprawiedliwienie kosztu tego wszystkiego może być naprawdę trudne bez wyraźnego dowodu, że były administrator był w rzeczywistości złem. Całości powyższego nie da się nawet zrobić z majątkiem firmy, co będzie wymagało zatrudnienia konsultantów ds. Bezpieczeństwa, którzy wykonają część tej pracy.
Jeśli zostanie wykryte rzeczywiste zło, szczególnie jeśli zło jest w jakimś oprogramowaniu, najlepiej przeszkoleni specjaliści ds. Bezpieczeństwa określą szerokość problemu. Jest to również punkt, w którym można rozpocząć budowanie sprawy karnej, a naprawdę chcesz, aby ludzie, którzy są przeszkoleni w postępowaniu z dowodami, przeprowadzali tę analizę.
Ale tak naprawdę, jak daleko musisz się posunąć? Tutaj zaczyna się zarządzanie ryzykiem . Upraszczając, jest to metoda równoważenia oczekiwanego ryzyka ze stratą. Sysadmini robią to, gdy decydujemy, w której lokalizacji poza witryną chcemy umieścić kopie zapasowe; sejf bankowy kontra centrum danych poza regionem. Ustalenie, jak wiele z tej listy wymaga śledzenia, to ćwiczenie z zarządzania ryzykiem.
W takim przypadku ocena rozpocznie się od kilku rzeczy:
- Oczekiwany poziom umiejętności zmarłego
- Dostęp zmarłych
- Oczekiwanie, że zło się spełniło
- Potencjalne uszkodzenie jakiegokolwiek zła
- Wymogi prawne dotyczące zgłaszania popełnionego zła w porównaniu z zapobiegawczo znalezionym złem. Generalnie musisz zgłosić pierwsze, ale nie później.
Decyzja o tym, jak daleko w dół powyżej króliczej nory do nurkowania będzie zależeć od odpowiedzi na te pytania. W przypadku rutynowych odejść administratora, gdzie oczekiwanie zła jest bardzo niewielkie, pełny cyrk nie jest wymagany; prawdopodobnie zmiana haseł na poziomie administracyjnym i ponowne wprowadzenie klucza do zewnętrznych hostów SSH jest prawdopodobnie wystarczająca. Ponownie, determinuje to postawa bezpieczeństwa zarządzania ryzykiem korporacyjnym.
Dla administratorów, którzy zostali rozwiązani z przyczyn lub zła pojawiły się po ich normalnym odejściu, cyrk staje się bardziej potrzebny. Najgorszym scenariuszem jest paranoiczny typ BOFH, który został powiadomiony, że jego stanowisko zostanie zwolnione za 2 tygodnie, ponieważ daje im to dużo czasu na przygotowanie się; w takich okolicznościach pomysł Kyle'a na hojny pakiet odpraw może złagodzić wszelkiego rodzaju problemy. Nawet paranoi mogą wybaczyć wiele grzechów po otrzymaniu czeku zawierającego 4 miesiące wypłaty. Ta kontrola prawdopodobnie będzie kosztować mniej niż koszt konsultantów ds. Bezpieczeństwa potrzebnych do wykrycia zła.
Ale ostatecznie sprowadza się to do kosztu ustalenia, czy zło zostało wyrządzone, w porównaniu z potencjalnym kosztem faktycznie wyrządzonego zła.