Moodul 7 · 7.1
Õigused ja minimaalne haldus
Moodul 7: Juurdepääs, tarnijad ja pilv · Lugemisaeg: 10 minutit
Õpieesmärk: pärast seda õppetundi oskad sa seadistada õiguseid põhimõttel "nii vähe kui võimalik": igaühel oma konto, haldajaõigused eraldi, välised osapooled ajutiselt ja piiratud õigustega, ning kindel kord selleks, kui keegi alustab, vahetab rolli või lahkub.
Põhimõisted: least privilege, isiklik konto, jagatud konto, haldajakonto, ülesannete lahusus, liitumine, rolli vahetus ja lahkumine, juurdepääsude ülevaade
Põhimõte: nii vähe kui võimalik
Least privilege (eesti keeles: minimaalsed õigused) tähendab, et igaüks saab täpselt sellise juurdepääsu, mida ta oma töö jaoks vajab, mitte rohkem. NIST kirjeldab seda põhimõttena, mille kohaselt on kasutajatel ainult nende ülesanneteks minimaalselt vajalikud õigused.
Miks see oluline on? Sest iga konto võib varem või hiljem üle võetud saada: andmepüügi (moodul 3), lekkinud parooli (õppetund 1.4) või nakatunud sülearvuti kaudu. See, mida ründaja seejärel teha saab, sõltub täielikult selle konto õigustest. Praktikandi konto, kes tegeleb ainult sotsiaalmeediaga, annab ründajale vähe. Konto, mille omanik on "mugavuse huvides" kõikjal haldaja, annab kõik: e-posti, maksed, veebilehe, varukoopiad.
Minimaalsed õigused ei vähenda seega sissemurdmise tõenäosust, aga vähendavad kahju. See on sama mõte, mis hoone võtmetega: koristajal on võti esiukse, mitte seifi jaoks.
Igaühele oma konto
Jagatud konto on konto, kuhu logib sisse mitu inimest sama parooliga: "me kõik kasutame info@example.com raamatupidamisprogrammi sisselogimiseks". See tundub praktiline, aga sellel on neli suurt puudust:
- Sa ei tea, kes mida tegi. Logis seisab ainult "info". Kui makse muudeti, ei saa sa välja selgitada, kes seda tegi.
- Sa ei saa kedagi eraldi välja lülitada. Kui keegi lahkub, pead muutma parooli kõigi jaoks, ja praktikas see sageli ei toimu.
- Kaheastmeline autentimine (2FA) töötab halvasti. Kood jõuab ühte telefoni, mistõttu lülitatakse 2FA välja või saadetakse kood kõigile laiali.
- Parool liigub ringi WhatsAppi, sedelite ja e-posti teel, ega ole seega enam salajane.
Isiklik konto lahendab kõik need probleemid: oma sisselogimine, oma 2FA, oma logi, saab eraldi välja lülitada. Peaaegu kõik ärirakendused toetavad mitut kasutajat oma õigustega. Jagatud e-posti aadress nagu info@ võib hästi edasi eksisteerida aadressina; lase inimestel, kes seda loevad, saada juurdepääs oma kontoga, kui su e-postisüsteem seda toetab.
Haldajaõigused eraldi
Haldajakonto saab luua kasutajaid, muuta õiguseid, muuta seadeid ja tihti ka kustutada andmeid. Just seetõttu kasuta seda nii vähe kui võimalik.
- Tööta igapäevaselt tavalise kontoga ja logi haldajana sisse ainult siis, kui pead midagi haldama. See kehtib ka sinu sülearvuti kohta (õppetund 5.2).
- Taga, et kõige tähtsamatel teenustel oleks vähemalt kaks haldajaõigustega inimest, või hästi hoitud avariikonto. Kui ainus haldaja on haige või ära, jääd sa hätta.
- Aga ka mitte rohkem kui vajalik. Viis haldajat kaheksaliikmelises ettevõttes on neli liiga palju.
- Lülita igal haldajakontol sisse kaheastmeline autentimine, eelistatavalt andmepüügikindel (õppetund 2.4).
Ülesannete lahusus läheb veel sammu edasi: üks inimene ei tohi üksi algusest lõpuni teha tundlikku toimingut. Kõige tuntum näide oli õppetunnis 1.2: see, kes sisestab tarnija uue IBANi, ei kinnita ka ise makset. Väikeses ettevõttes saab seda lihtsalt teha: üks valmistab makse ette, teine kinnitab selle pangarakenduses.
Välised osapooled: ajutiselt ja piiratult
Veebiarendajad, raamatupidajad, IT-ettevõtted ja vabakutselised vajavad tihti juurdepääsu. Klassikaline viga on anda neile oma parool. Siis saavad nad teha kõike, mida sina saad, ja pärast ei tea sa enam, kes veel sisse pääseb.
Parem on:
- Anna oma konto ainult vajalike õigustega. Raamatupidajale piisab arvetest; veebiarendajale ühe veebilehe failidest.
- Anna juurdepääs lõppkuupäevaga, kui tegemist on ühekordse tööga. Paljud süsteemid võimaldavad kontol või võtmel automaatselt aeguda.
- Piira võimalusel millisest võrgust keegi sisse logida saab.
- Pane kirja, kellel on milline väline juurdepääs ja miks.
Liitumine, rolli vahetus ja lahkumine
Õigused kasvavad iseenesest. Keegi alustab müügist, aitab mõned kuud raamatupidamises ja läheb siis tootmisse. Kui keegi ei jälgi, on sellel inimesel kahe aasta pärast kõigi kolme ametikoha õigused. Seetõttu korrasta õigused kolmel hetkel:
| Hetk | Mida teed |
|---|---|
| Liitumine (uus töötaja) | Loo oma kontod ametikoha õigustega, seadista kohe 2FA, selgita, kus mis asub |
| Rolli vahetus (teine ametikoht) | Lisa uued õigused ja eemalda vanad õigused |
| Lahkumine | Viimasel tööpäeval lülita kontod välja, tühista seansid seadmetel, muuda jagatud paroolid, anna failid üle |
Lahkumisel on järjekord oluline. Esmalt anna üle, siis lülita välja, kustuta alles hiljem. Kui kustutad konto kohe, kaovad paljudes teenustes ka selle inimese failid, kalendrid ja e-post. Mõnes pilveteenuses on see teatud aja pärast lõplik: Microsoft 365 säilitab kustutatud kasutaja OneDrive'i oma dokumentatsiooni järgi vaikimisi 30 päeva. Väljalülitamine säilitab andmed ja sulgeb juurdepääsu.
Ära unusta lahkumisel ka: inimese seadistatud edastusreegleid (õppetund 2.5), rakenduseparoole, juurdepääsu pangarakendusele, sotsiaalmeediale ja oma domeeni registripidajale, ning hoone võtmeid või läbipääsukaarte.
Juurdepääsude ülevaade
Juurdepääsude ülevaade on lihtne tabel: iga teenuse kohta, kellel on juurdepääs, milliste õigustega, ning kas tegemist on oma või välise kontoga. Vaata see nimekiri üle vähemalt kaks korda aastas, ja alati pärast kellegi lahkumist. Igal real küsi endalt üks küsimus: kas see inimene vajab seda täna veel?
Praktikas: nii see välja näeb
Näidiskeskkonnas Minu WebOké kutsud sa kolleegi, raamatupidaja või veebiarendaja kasutajaks. Tema logib sisse oma andmetega ja sina märgid loa haaval ära, mida ta teha tohib, näiteks raamatupidajale ainult Arved. Ainult konto omanik saab kutsuda kasutajaid ja muuta õiguseid, ning ühe nupuvajutusega saad juurdepääsu tagasi tühistada. DirectAdminis saad anda veebiarendajale oma FTP-konto ühe kausta jaoks, või sisselogimisvõtme aegumiskuupäeva, piiratud käskude ja ainult kindlatelt IP-aadressidelt lubatud juurdepääsuga.
Nextcloudis vali lahkuva kolleegi puhul esmalt Disable: ta ei saa enam sisse logida, aga failid jäävad alles. Juhend on selge: kustuta kasutaja alles siis, kui kõik on üle võetud, sest kustutatud kasutaja kaob kõigi oma failidega lõplikult. Teistes süsteemides töötab see sarnaselt, aga nimed ja tähtajad erinevad; uuri see enne kellegi lahkumist välja.
Kokkuvõte
- Minimaalsed õigused piiravad kahju, kui konto üle võetakse.
- Igaühele oma konto: nii tead, kes mida tegi, ja saad kedagi eraldi välja lülitada.
- Haldajaõigusi kasuta ainult vajadusel, väikesele arvule inimestele, tugeva 2FA-ga.
- Välised osapooled saavad oma, piiratud ja võimalusel ajutise konto, mitte kunagi sinu parooli.
- Korrasta õigused liitumisel, rolli vahetusel ja lahkumisel; lahkumisel: anna üle, lülita välja, kustuta hiljem.
Test
Ülesanne
Ülesanne A7.1: Kes saab millise juurdepääsu? Sulle antakse rida olukordi väikesest ettevõttest (uus raamatupidaja, veebiarendaja projekti jaoks, lahkuv kolleeg, praktikant). Vali igas olukorras parim viis juurdepääsu andmiseks või sulgemiseks. Programm kontrollib su valikut ja selgitab, miks.
Ülesanne D7.1: Sinu juurdepääsude ülevaade. Koosta oma viie kõige tähtsama teenuse juurdepääsude ülevaade: kellel on juurdepääs, milliste õigustega, oma või jagatud konto, sise- või väline. Eemalda vähemalt üks tarbetu õigus või jagatud konto ja kirjuta oma lahkumislist järgmise korra jaoks, kui keegi lahkub.
Ülesanne D7.1: Su juurdepääsude ülevaade
Nii teed seda: (1) Vali oma viis kõige olulisemat teenust (näiteks e-post, raamatupidamine, pank, majutuspaneel, pilvesalvestus, oma domeeni registripidaja). (2) Koosta iga teenuse kohta ülevaade: kellel on juurdepääs (roll, nimesid pole vaja), millised õigused, kas konto on isiklik või jagatud, kas see on sisemine või väline, kas kaheastmeline autentimine (2FA) on sees, viimase sisselogimise kuupäev, kui teenus seda näitab. (3) Otsi igast teenusest kasutajate nimekiri ja võrdle seda oma ülevaatega. Kirjuta üles erinevused. (4) Eemalda vähemalt üks liigne õigus, üks vana konto või üks jagatud konto, või asenda jagatud konto isiklike kontodega. (5) Kontrolli iga teenuse juures, mitu administraatorit on; eesmärk on kaks. (6) Koosta lahkumise kontroll-leht: mida teed kellegi viimasel tööpäeval (kontode väljalülitamine, seansside tühistamine, edastusreeglite ja rakenduseparoolide ülevaatamine, jagatud paroolide vahetamine, failide üleandmine, pank, sotsiaalmeedia, registripidaja, võtmed ja kaardid). (7) Lisa korduv kohtumine (kaks korda aastas), et ülevaade üle vaadata.
Su linnukesed ja märkmed jäävad ainult sellesse brauserisse, me ei saada neid kuhugi. Kui oled sisse loginud, salvestame Minu kursustes ainult info, et tegid ülesande ära.
Loe lisaks
WebOké artiklite sammud kehtivad WebOké keskkonna kohta; teiste teenusepakkujate juures töötab see sarnaselt.
- WebOké juhend 11.3: Kasutajate kutsumine ja õiguste andmine
- Nextcloudi juhend 14.2: Kasutajate loomine, muutmine, väljalülitamine ja kustutamine
- Nextcloudi juhend 14.7: Õigused: kes haldab sinu Nextcloudis mida?
- Nextcloudi juhend 16.7: Kolleeg lahkub: failide, kalendri ja jagatud kaustade turvaline ülevõtmine
- DirectAdmin juhend 3.5: Aanmelduse võtmed: sisselogimine skriptide ja programmide jaoks
- DirectAdmin juhend 11.6: FTP-kontode loomine ja haldamine
- NIST, Glossary: least privilege (inglise keeles): https://csrc.nist.gov/glossary/term/least_privilege
- Microsoft, OneDrive retention and deletion (inglise keeles): https://learn.microsoft.com/en-us/sharepoint/retention-and-deletion