Så rensar du bort en ond sysadmin

Artikelkommentarer

Vi håller just nu på att uppgradera vära kommentarsystem. Mer info om hur du kommenterar och kommer åt dina gamla kommentarer hittar du på vår FAQ: idg.se/faq

Kommentatorn ansvarar själv för sina inlägg. Inlägg som innehåller diskriminerande uttalanden, personliga påhopp eller språk som kan uppfattas som stötande, kommer att tas bort av tjänstgörande redaktör. Även poänglösa datorkrigsinlägg tas bort.

OBS! Läs dessa regler som gäller vid postning av inlägg.

Regler för inlägg i artikelforumet

IDG förbehåller sig dessutom rätten att i varje enskilt fall bedöma huruvida ett inlägg ska tas bort, även om det inte faller under någon av reglerna ovan.

Upprepat postande av olämpliga inlägg kan medföra avstängning från artikelforumen.

Frågor? Mejla till redaktören, carl.grape@idg.se.

Läs mer om vår policy i diskussionsforum

Kommentarer till:

Så rensar du bort
en ond sysadmin

GUIDE En illvillig före detta systemadministratör kan ställa till det rejält för en it-tung verksamhet. Vad ska man tänka på när man rensar bort en anställd som har många behörigheter från sina system, och vilka förebyggande åtgärder krävs för inte hamna i en farlig situation?

Åtkomst till systemen

2012-04-16 12:12

Tänkte bara fylla på med att det är ganska sannolikt att chefen och övriga inte känner till lösenorden för att gå in och ändra lösenord på adminkonton etc.

I ett mindre företag tror jag det ganska ofta händer att adminkontons lösenord stannar hos ansvarige administratören för systemen. Att han/hon av säkerhetskäl inte lämnat vidare lösenord till chefen eller andra personer i företaget.

Vilket då innebär att ovanstående arbete inte kan inledas förrän efter samtal med den person man tänkt avskeda och bett om lösenorden..

Gäller även de som följer de förebyggande åtgärderna.

incus

Åtkomst till systemen

2012-04-16 21:06

Känner till ett företag som fick klappa ihop helt efter att systemadministratören hastigt gick bort. Eftersom säkerhet var viktigt hade han fått i uppgift att säkra systemen ordentligt, lite för ordentligt bara, för efter att diverse systems principaler gick ut slutade system efter system att fungera och sen gick det inte att läsa någon data längre.

xlc

Åtkomst till systemen

2012-04-16 22:44

Påminner om en gammal Dilbert-strip..

Wally (min hjälte) har döpt om och bytt root-lösen till alla Unix-servrar..

Han pekar på sitt huvud och säger, det är lungt allt finns här inne.

En vecka senare frågar Dilbert hur det var med lösenorden.. Wally - Va???

:D :D

nixon ?

Åtkomst till systemen

2012-04-17 02:26

Låter mest som en urban legend. Om de visste att de inte kom åt lösen på servrarna så borde de inte behövt fundera så länge innan de började kopiera informationen ut manuellt med sina egna login. Eller så ville de bara ha en ursäkt att lägga ner. =)

hans.pedersen

Åtkomst till systemen

2012-04-17 10:25

Teoretiskt sett är det inte omöjligt att vanliga användare kan bli så hjälplösa ifall den tekniskt ansvarige hastigt försvinner med alla sina lösenord.

Men som tur är finns ju konsulter och andra företag man kan vända sig till för att få hjälp och än sålänge finns inga system som klarar av behålla säkerheten när det finns fysiskt åtkomst.

Undantag då möjligen krypterade system.

incus

Men hur skall jag kunna

2012-04-16 13:47

Hålla mina timebomber i styr om jag inte kommer in i systemet?
Undrar btofh.
Tre veckor utan stoppord och systemet börjar skriva över backupper med corrupt data i ett halvår innan diskarna formateras.

En äkta btofh räknar iskallt med att när anställningen avbryts så sker det inte av frivillighet eller under gemytliga former.

Anakin-S -<|" Apple. The fruity toymaker "|>-

Men hur skall jag kunna

2012-04-16 15:03

Alla ansvarskännande sysadmins ser till att sina bomber skapar återställer admin lösen och skickar ut det till dig.

Man kan ju inte lämna ett system helt försvarslöst ;)

Mean

Men hur skall jag kunna

2012-04-16 15:15

Man sätter ju upp bakdörrar som konton med enterprise/domain admins sid i sidhistory i AD miljö. Installera password filter som börjar skicka ut lösenord om ens egna konto blir borttaget eller disablat. I Novell eDirectory miljö var möljigheterna till bakdörrar enorm då schemat var så flexibelt kunde man göra vilket object som helst till ett inloggningsbart object. Så t.ex så hade de flesta eDirectory uppsättningar minst en grupp som hade supervisor access direct till [root]. Då kunde man göra gruppen i sig till ett inloggnings object och så hade man med en gång supervisor access i hela nätet.

Neptune

inte bara lösenord

2012-04-16 14:07

Om man har satt upp host based autentisering på ssh så kan du byta admin lösenordet så många gånger du vill, då det inte påverkar.
Kolla att ssh inte tillåter root login, och ta bort all okända konton.

Sen kan en som har haft full access, enkelt sätta upp call-back på nått obskyrt systemkonto, som helt enkelt öppnar en koppling ut, inne ifrån nätverket, med en möjlighet att gå vi en tunnel tillbaka.

Brian Levinsen

mission impossible

2012-04-16 15:32

Har man en dumpat en missnöjd sysadm bör man behandla sina system som om de blivit genomhackade.

Visst, byta lösenord i all ära, men så länge han haft admin-access har han kunnat lägga in vilka bakdörrar etc som helst. Har ni koll på alla ethernetportar och mac-adresser? Nånstans kanske det sitter en PoE strömförsörjd Raspberry Pi och öppnar upp ett remoteshell en gång i veckan. Lämpligtvis på en dot1q trunkad switchport för tillgång till allt. Eller så ligger det en smartphone undangömd på laddning, med 3G åt ena hållet och intern wifi-access åt det andra.

Kanske bättre att hantera sina anställda som människor istället för djur?

kommentatorn

mission impossible

2012-04-16 16:37

Håller med. Det finns ofanligt många ställen att gömma undan bakdörrar. Ställen man inte installerar om, t.ex. i firmwaren för routrar, skrivare och andra grejer med internetkontakt. Världen behöver mera ondska!

det är inte lätt att vara ett litet djur.

mission impossible

2012-04-16 17:01

Jo, vet hur ett företag valde att "sparka" hälften av sin IT-avdelning...

På kvällen så inaktiverades deras passerkort och på morgonen så stod det flera säkerhetsvakter och väntade på dem när de kom till företaget och krävde tillbaka passerkort, id-kort, bärbara datorer, mobiltelefoner mm.

Nu pratar vi om personer som hanterade hela företages IT-miljö, såsom fjärranslutningar, AD-domän, lönesystem osv, osv, osv...

Man blev ju inte så lite förvånad när man personer man pratade med igår om saker man skulle göra idag inte längre svarade på varken mobilen, e-post eller det interna messenger tjänsten.

och trots hela denna hemlighetscirkusen, så hittar vi fortfarande accessvägar/konton in i känsliga system som de kvarvarande på IT-avdelningen har missat.
Allra bäst tycker jag är när man sade upp alla som var ansvariga för katastrof fjärranslutningstjänsten som skulle användas om den vanliga inte fungerade, detta systemet som var konfigurerat med statiska konton/lösenord mm allt detta tillsammans med uppkopplings instruktioner mm förvarades i ett låst "skåp" på kontoret, detta skåpet tömdes sedan i vanliga soporna!!! Vad som var än mer beklämmande var ju att de som satte upp systemet fortfarande hade egna konton som fungerade lång tid senare... Detta uppdagades när en utav dessa personer blev återanställd och fick vänta på den ordinarie fjärranslutningstjänsten och prövade backup-tjänsten och såg att han fortfarande kunde logga in med sitt gamla konto!!!

Han trodde att de hade tagit ned systemet, då DNS-namnet hade avbeställts, men gick man på IP-adressen direkt så fungerade det fint...

Capital

mission impossible

2012-04-16 21:09

Vilket företag var det? Så att man vet vilka man inte ska arbeta åt.

xlc

mission impossible

2012-04-16 21:40

Var ett danskt företag inom telekom.

Capital

Certifikat kedjor.

2012-04-16 18:08

Att ta bort certifikat och revokering är inte nog. En del sysadmins kommer åt root-cert och kan med dessa tillverka nya cert, tex genom att kopiera en backup.
Typiskt brukar VPN lösningar är kontor-till-kontor eller kund-leverantör vara helt certifikat baserade. Personen kan också installera backdoors som är mycket svåra att hitta. Är man riktigt jävlig så installerar man en backdoor hos en kund eller leverantör för att från denna komma åt andra backdoors.

Ozymandias

Låter lite puckat

2012-04-16 18:51

Om man nu slutar som systemadmin så är de ju inte så smart om alla system bara helt plötsligt "packar ihop". De tar inte ett geni att lista ut vem den skyldiga är. Eller åtminstone så lär tankarna ganska snabbt riktas mot den som fick sparken.

Med de sagt så är de inget fel på artikeln. En förbannad sysadmin kan ställa till redig cirkus. Själv är jag ensam admin på ett litet företag med cirka 30st anställda. Bara jag har alla lösenord till alla system. Men jag skulle aldrig sabba för företaget på något sätt där iaf jag skulle bli prime suspect. Vad vinner jag på de?

Inget typ mer än otrevliga samtal hem.

När jag var ny här så hade jag med mig ett par egenutvecklade system som jag lät företaget nyttja kostnadsfritt. Jag ansåg att jag vill inte ge bort dessa system gratis utan någon form av garanti. Så jag la in i koden att vid ett visst datum så skulle systemet sluta att fungera. Sure lite svinaktigt men jag ville försäkra mig om att inte bli blåst. Fast det är också de enda jag någonsin gjort =)

Kendo

Låter lite puckat

2012-04-16 22:54

Ingen normal vetting människa som vill vara anställningsbar i framtiden gör uppsåtligt skada när man har en adminposition - inte ens om man blir sparkad på ett fult sätt osv, det handlar om att ha integritet.

Tyvärr är det ju så att det finns folk som inte är vettiga utan som får frispel och börjar förstöra (eller kanske är mindre hederliga redan från början) och det är inte lätt att skydda sig mot sånt.

Egentligen skulle hela systemen behöva vara designade för det från början och allt skulle kräva samtidig autentisering av två personer osv. Men det är ju inte riktigt praktiskt för ett smärre företag.

cr0ft

Låter lite puckat

2012-04-16 23:21

Vad händer om du blir allvarligt sjuk eller på annat sätt blir "indisponibel"? Har du du dokumenterat allt du har, lösen, konfigurationer, annat?
Personligen har jag lagt ner ordentligt med tid så att i princip vem som helst kan ta över när som helst inom relativt kort tid.
Visst, jag gör mig överflödig, men å andra sidan tror jag på transparens. Tillit går på båda hållen, och jag tjänar inget på att göra mig ovärderlig.

Yesiree

Var inte en skitstövel?

2012-04-16 23:44

Problemet är till högsta grad socialt, inte tekniskt. Lyckas man reta upp en anställd till den grad att denne glatt riskerar fängelsestraff för att hämnas har nånting gått väldigt snett, väldigt snett. Har man behov av att "rensa bort" it-personal är det förmodligen ett chefsproblem man egentligen har på handen.

Rent tekniskt sitter man redan i tunnan om den anställde är duktig på sitt jobb. En trojan (eller i väldigt många fall, nåt så enkelt som en felaktig liten inställning) som sakta degraderar gammal data men inte färsk är nästintill omöjlig att upptäcka, samtidigt som den gör att alla backuper är fullständigt värdelösa.

Finns fler sätt att förstöra ett nätverk obemärkt än det finns sätt att bygga dom på. Många sätt är dessutom helt omöjliga att bevisa uppsåt för då de bygger på att man triggar buggar i programvaror genom att ändra bara så lite på vissa ställen.

Bästa tipset är att behandla personalen väl, se till att hantera konflikter snabbt och ha koll på mellancheferna uppifrån. Dessa felar förvånansvärt ofta men är i många fall totalt oförmögna att ta på sig ansvar utan sparkar hellre nån helt orelaterad person. Värst hittils måste vara spektaklet på SR. Där är det solklart att problemet var en kass chef men man tar ihjäl en it-snubbe istället för att leda in mellanchefen på rätt väg.

Hyena

Vi behöver hjälp

2012-04-17 07:13

Vi har onda sysadmins på vårt företag som vi skulle behöva hjälp att "rensa bort".

De låser ner våra datorer så att man knappt kan använda dem. De blockerar och censurerar internet att kinas brandvägg får anses vara liberal. Det går inte ens att synka telefonen mot Outlook.

För säkerhetens skulle offras produktiviteten.

Jag undrar vad som är dyras. 1) Att låsa ner datornerna och förlora produktivitet varje dag. 2) Eller att låsa upp datorerna och erbjuda en nätverksboot där varje användare enkelt kan installera om sin dator om olyckan skulle vara framme? Filer man vill ha kvar sparar man på en nätverksdrive.

Någon

Vi behöver hjälp

2012-04-17 11:53

Jag har jobbat med alla möjliga varianter på nedlåsning.

Billigast är helt klar att tillåta vilda västen för en IT avdelning. Dock så kan det få konsekvenser på produktiviteten i längden beroende på de anställdas IT vana.

Men en bra modell för att malla om och sedan strypa nätet för sådana som inte uppfyller säkerhetskrav på inventering, antivirus och patchning. Sedan låter du dem vara lokala admins. Är det någon som gör olämpliga saker så brukar det räcka om man prata. Det skulle jag tro är bästa balans i pris/säkerhet.

Mean

Vi behöver hjälp

2012-04-17 18:35

Det beror ju helt på vilken verksamhet det är frågan om.

I skolor och liknande är det billigast med total nerlåsning och system som återställer sig själva, eller tunna klienter. Tunna klienter har fördelen att användarna får upp exakt samma skrivbord var de än loggar in.

Men rör det sig om arbetsstationer där personer som kan hantera datorer ska arbeta då minskar produktiviteten ifall de är nerlåsta. De kan inte använda de produktivitetsverktyg de är bra på.

falde

Comments powered by Disqus

Mer läsning från TechWorld

2013-06-14 16:32 - TechWorld:

Tallinn-manualen
- en handbok för cyberkrig

REPORTAGE En grupp internationella jurister har kommit samman under Nato-enheten CCD COE:s beskydd i Tallinn och funderat på hur cyberbrott ska bekämpas och vilka regler som gäller. Vilka åtgärder kan egentligen rättfärdigas?

2013-06-13 16:30 - TechWorld:

Bästa verktygen för tvåstegsautentisering

BILDSPEL Det duger inte att förlita sig på ett simpelt användarnamn och ett lösenord för inloggning. Därför behövs tvåstegsautentisering.

exklusiv för Techworlds Superusers

2013-06-12 10:11 - TechWorld:

3d-skrivaren som skriver ut i titan

REPORTAGE 3d-printandet tar jättekliv framåt. På företaget Arcam i Mölndal framställer man helt solida metalldelar. Smältning med elektronstråle gör att man kan arbeta med ett mycket motspänstigt material: titan.

2013-06-17 11:25 - TechWorld:

Avancerat hackarskydd öppnas inom kort

En brandvägg skyddar dig inte mot stulna inloggningsuppgifter. Verktyget Breachbox håller däremot koll på ovanliga inloggningar.

Redaktionen rekommenderar

2013-05-28 16:32 - TechWorld:

Lösenordens död del 1
- Allt är för enkelt att knäcka!

ANALYS Dagligen kommer rapporter om att angripare har kommit över lösenord från e-handlare eller molntjänster. Det finns mycket små möjligheter till ett bra tekniskt skydd - inte ens världens säkraste kryptoalgoritm hjälper.

2013-05-20 16:30 - TechWorld:

Vill du ha kvar jobbet?
- Du måste uppgradera dig

Förändringens vindar blåser hårdare än någonsin genom landets it-avdelningar. Den it-tekniker som vill ha kvar jobbet gör bäst i att anpassa sig till de nya tiderna och uppgradera sin kompetens rejält.

2013-05-07 11:23 - TechWorld:

Gör storverk med lilla Raspberry Pi

ANALYS 45 gram tung och stor som ett kontokort, kan det verkligen vara en dator som duger till något? TechWorlds expert berättar historien bakom succén Raspberry Pi, förklarar hur den är byggd och vad du kan använda den till.

2013-04-24 16:26 - TechWorld:

Snart kan du och jag bo på månen

REPORTAGE Visst har du sett den, bebyggelsen i "Månbas Alpha"och " 2001 - Ett rymdäventyr"? Verkar den ouppnåelig med dagens teknologi? Ett antal nationer funderar på permanenta månkolonier. Vi ska titta på hur de kan komma att bli verklighet.

2013-04-22 10:09 - TechWorld:

Premiär för TechWorld Threat Report

Nu lanserar TechWorld nu en helt ny säkerhetsrapport som hjälper dig att få full koll på läget. Som Superuser kan du ladda hem och läsa den idag!

2013-03-26 13:10 - TechWorld:

Så mår öppen källkod 2013

ANALYS Öppen källkod vann på internet och de stängda programmen tog segern på skrivborden. I serverhallarna blev det oavgjort. Så nu är allt frid och fröjd? Knappast. Moln- och mobilteknik öppnar upp för en ny match.