Что делать при увольнении системного администратора?

Question

[IrkDesigner]

Вопрос, с которым в определенное время сталкивается любой безопасник.
Когда увольняется обыкновенный сотрудник, тут все понятно, блокируем учетную запись (УЗ) и отправляем с миром.
При увольнении сисадмина проблема глобально расширяется. Вот первое, что пришло в голову:
Блокировка админской УЗ;
Аудит ActiveDirectory на предмет недекларированных УЗ с правами администратора;
Проверка шлюза на новые правила для удаленных пользователей;
Проверка отложенных заданий на серверах и рабочих станциях.
Смена паролей на сетевом оборудовании, смена паролей типовых учетных (напр. root) записей на серверах.
Изъятие токенов, проверка пин-кодов на токенах.

Кто еще сталкивался с подобными проблемами, и какие шаги для обеспечения информационной безопасности я упустил?

Answer 1

[Dormidont]

В первую очередь — выплатить все положенные суммы и не пытаться что-то зажать, пусть даже и человек работал хреново. То есть, как можно более мирно расстаться. Нормальный админ после этого просто не будет пакостить, а ненормального это задержит хотя бы на пару деньков, а вы за это время и пароли смените, и правилам на файрволле ревизию сделаете. Самые клинические случаи, конечно, исключение, и тут вам самим решать.

Comments

[nerudo]

Првильно, полностью рассчитаться с человеком, чтобы зла не держал. И в клетку в подвал месяца на три, на всякий случай…

Answer 2

[lecter]

Кстати насчет задач, их проверить точно стоит. Даже не по злому умыслу, задачи могут запускаться из под учетки админа. И после её блокировки перестанет создаваться, например, бэкап ряда БД.

Answer 3

[Василий]

Согласен с demimurych и добавлю что в Windows тоже можно очень хитро спрятать много чего…

Вот параноя-вариант: где то (к примеру) в потолке (над потолочными плитами) стоит маленький неттоп который недокументированно врезан в сеть и к нему подключен gprs модем. Далее удаленно на него поступает команда и к примеру через протокол X10 по электросети или по Eternet'у бежит команда немного доработанному UPSу ресетнуть рабочий сервер, а там в биосе стоит загрузка по PXE первой (кто когда это проверит на боевом сервере? :) ). Далее с PXE-сервера на неттопе рабочий сервер грузит нужную ОС, немного автоматики и вуаля — доступ получен обратно ;) (какой бред только в 3 утра в голову не придет)

Мне кажется лучше с админом не ссорится — если захочет (особенно если было время подготовится) — нагадить сможет много и капитально.

Answer 4

[Михаил]

У нас по законодательству человек должен отработать 2 недели перед тем как уйти. Предлагаю Вам найти подходящего специалиста перед тем и сделать так чтоб он эти 2 недели не отходил от старого админа. (перенял опыт).
В случае если у Вас используюется специфическое ПО к созданию\модификации которого приклал руку и сам админ то как минимум не сжигать мосты а сказать пиблизительно такую фразу: " Если что-то ему не будет понятно то приди помоги, мы тебе компенсируем".

Answer 5

[TimID]

Как я понимаю, с системным администратором Вы не дружите…

Отправить сисадмина в отпуск на неделю на Гаваии (где нет интернета, да и некогда ему будет, и вообще — это подкуп), за это время нанять НОРМАЛЬНЫХ сисадминов, чтобы они быстро всё перенастроили. Очень важно сменить «корневую» железку (циску или что там у Вас смотрит в сеть), причем сменить физически.
Еще лучше, связаться с фирмой по аудиту безопасности и потребовать от неё гарантии безопасности. Пусть добудут/сменят все пароли и т.п.

И главное, системный администратор ДОЛЖЕН работать на своего руководителя, а значит — протоколировать все свои действия (по безопасности и правам доступа) и давать отчеты. Как только замечаете, что он (сисадмин) начинает «темнить» и добавлять функциональность, которой может управлять он один, то СРАЗУ УВОЛЬНЯЙТЕ(!) — этот человек уже не хочет сделать лучше Вам, а хочет сделать себя «неприкасаемым».
В крайнем случае, нанимайте двух «зеркальных» сотрудников — чтобы они могли полностью дублировать друг-друга.

PS. И простите меня Компьютерные боги, что я Ваших главных жрецов «сливаю» — но натерпелся, нет мочи!

Comments

[TimID]

У Вас коммутаторы не от CISCO?
+ в муниципальных учреждениях со «стихийной интернетизацией» сеть обычно строится от роутера, который одновременно объединяет все сети физически. Иметь пароль от его настройки критически важно, или Вы несогласны?

[Николай Турнавиотов]

TimID

У Вас коммутаторы не от CISCO?

лолшто?
В 90% мелких контор — коммутаторы не управляемые, цисками и не пахнет, а все живет на одном юникс (иногда плюс AD контроллеры) сервере.
и кстати, кроме цисок есть еще джуниперы, хуавеи, нортелы, длинки (Вы таки не поверите, но по двум моим прошлым работам из 8 десятков длинков core уровня, стоящими за нормальными упсами умерло только два по разным причинам.) и наверняка еще пару хороших крупных произвоителя железа такого уровня, о которорых я ил забыл или не слышал

[TimID]

Судя по вопросу (топика), речь все же о более-менее крупной организации, у которой хватило денег (сил) на шлюз не бытового уровня (скажем, keenetic lite) и сеть достаточно сложна, чтобы в ней можно было «напакостить» удаленно.
Потому что в случае «простой» сети (без сервера БД и приложений) достаточно сбросить роутер (тот же кинетик) и сменить его пароль, а затем переформатировать жесткий диск уволенного администратора (удалить потенциальный руткит и бэкдор) вроде Radmin'а.
Конечно, админ может быть «той еще задницей» и поставить с десяток «дырок» вроде TeamViewer'а, которые даже через NAT пролезут… но только это уже совсем клиника.

[Dormidont]

переформатировать жесткий диск уволенного администратора

Мсье знает толк в извращениях. И потерять последний шанс нарыть его пароли, переписку и доки.
Достаточно просто полностью изолировать тачку — и от сети, и от 220В :)

[TimID]

Ну шнур-то у нелояльного сотрудника мы выдираем автоматически :)

[Dormidont]

Я не хочу в вашу компанию :)

[Николай Турнавиотов]

timid, dormidont — Сколько себя знаю, если уходит не только админ а и любой сотрудник — винда на его машине переставляется, т.к. сносить наставленный софт иногда дольше, чем переставить полностью.
когда ухожу я — всегда винт форматирую, даж без параноидального затирания — самое интересное все равно хранится в шифрованном файлике с паролями

[Михаил]

foxmuldercp,
>винда на его машине переставляется, т.к. сносить наставленный софт иногда дольше, чем переставить полностью.
А вы разве не контролируете те программы которые ставят простые пользователи на РАБОЧИЕ машины?? Или у Вас у каждого пользователь — админ?

[TimID]

Вообще-то почти во всех известных мне организациях «муниципального толка», да и в учебных заведениях, основной пользователь имеет административные права. И проблема здесь не в руководстве, а в лени (неграмотности) тех самых «IT-администраторов». Вернее в отговорках: «Нас мало, а их — вон сколько».
И сам там был, в IT-службе, и знаю, что задач бывает слишком много — некогда с каждым «чихом» бегать по всем 2к+ компьютерам.
Работал и в организациях где пытались ограничивать пользователей — не давали прав ставить программы и драйвера. Так у них (сотрудников) сразу начинало «всё глючить», особенно с древним софтом или продуктами 1C. Приходилось раза по три на дню к ним бегать.
1099511627776, Вы пробовали хотя бы раз начальнику кадровой службы сказать «пошёл на...» если он захочет поставить автоматическое обновление на утилитку сбора данных, высланную из Министерства? Особенно за 5 минут до конца рабочего дня…

[Николай Турнавиотов]

1099511627776 везде, куда приходил я, мне приходилось переставлять завирусованные машины с необновлявшимся от года антивирусами, т.к как сказали выше — у 90% пользователей админские права

[Михаил]

TimID — Да пробовал, и, вы знаете, получалось. А для тех 2-3 человека (Клиент\Банк) которым необходимо более чем Пользовательские права", ставлю опытных пользователей. Восновной своей массе — оператор, кассир, менеджер, директор — Пользователи домена и все

Answer 6

[Михаил Лялин]

самое идеальное — пойти по пути передачи от старого админа новому с одновременной проверкой и т.п.

Comments

[Николай Турнавиотов]

Вообще да, из таких сценариев когда старый учит нового — самый нормальный.
Был, конечно на одной из прошлых работ когда старый админ сдавал пароли генеральному, пока генеральный выдавал трудовую и зарплату старому админу, новый админ уже быстро менял их, отключив машину старого админа из локалки, чтобы не помешала если что.

[yuuyake]

Поддерживаю. Когда я уволился по собственному желанию, я еще три месяца удаленно работал, отвечал на вопросы нового админа и иногда помогал. Затраты у конторы чуть выросли, но не слишком. За три месяца удаленки я попросил месячный оклад. К тому же я сообщил руководству о своём желании не за 2 недели, а за месяц. У них было время найти нового человека.

Answer 7

[demimurych]

Как системный администратор NIX систем скажу
что если у меня был рутовый доступ к серверу
и у меня есть желание сделать так, чтобы после моего увольнения что то случилось
я это желание реализую.

Помешать мне может только полная переустановка системы.

Answer 8

[Руслан Мустаев]

Самый верный способ, это нанять вторым админом того, кто будет работать в дальнейшем, дать старому и новому поработать вместе месяц-два, когда второй будет в курсе всего происходящего в серверном хозяйстве, тогда уже увольнять старого.
Судя по описанному, текущий админ тот еще работничек… наверняка никакой документации нет, уволив его без заранее переданных дел, вы рискуете потерей данных и простоем работы… и даже расчудесный новый админ с ходу не сможет разобраться во всем… берите второго в пару не ошибетесь.

Answer 9

[Пума Тайланд]

При жестком желании я как админ найду как оставить вам пасхальное яйцо.
С другой стороны надо менять все доступы, вплоть до портов где rdp и ssh.

Answer 10

[Dan_Vaganov]

Совместная работа нового со старым — лучший выход, пока вы ищете место где спрятать тело

Answer 11

[extar]

Вот в этой книге есть хорошая глава на тему «Как правильно уволись сисадмина».

Comments

[IrkDesigner]

Шикарно! И что же в этой главе говорится?

[extar]

Примерный перечень вещей которых надо проконтролировать при увольнении админа. Это конечно больше теоретические советы, чем практика, но изучить тоже стоит. Книгу легко можно найти на общеизвестных ресурсах.

[mark_ablov]

1. Процедура
Соблюдайте вашу корпоративную кадровую политику – это самое важ-
ное правило.
Пользуйтесь контрольным списком, чтобы ничего не забыть.
2. Доступ
Лишить физического доступа: «Может ли он войти в здание?»
Лишить удаленного доступа: «Может ли он удаленно подключиться
к нашей сети?»
Лишить доступа к службам: «Были ли аннулированы права доступа
к приложениям?»
3. Постоянное улучшение
Используйте меньше баз данных управления доступом: чем меньше
контрольных точек, тем легче кого-либо заблокировать.

Answer 12

[curlydevil]

Самый верный способ увольнять админа — на входе в контору дать коробку с его вещами и сообщить об увольнении, материально компенсировав такого рода неудобства.

Comments

[Михаил]

Говорю Вам как админ — этого мало. И он итак сможет напакостить если захочет. Все зависит от натуры админа

[IrkDesigner]

Да уж, при таком увольнении явно напакостит, учитывая что у него скорее всего есть удаленный канал от дома до работы. С админами вообще не стоит ссориться.

[Николай]

Увольнять таким макаром админа — это все равно, что пнуть под зад главного бухгалтера, который знает всю поднаготную черной бухгалтерии.

Answer 13

[Михаил]

Теперь внимание вопрос:
Админ сам уходит по своему желанию или его хотят уйти?

Comments

[IrkDesigner]

50/50. Админ не очень расстроился, т.к. не работает (не пытается выполнять задания, нарушает трудовую дисциплину, сам несколько раз изъявлял желание уйти, но не оформлял бумажно.)
Вопрос состоит в описании типовых процедур при таком инциденте — если человек ушел, то ушел навсегда и безболезненно для компании. Вряд ли он будет откровенно пакостить, но что стоит проверить и на что обратить внимание?

Answer 14

[Alukardd]

Если уж говорить о способах пакости и доступа к ресурсам сети, то Вам придётся проштудировать буквально ВСЁ. Т.к. VPN клиенты или любой другой способ backconnect'а, даже с клиентской машины, даст админу доступ во внутрь сети, а дальше уже всё намного проще для него…
Собственно, базовые принципы Вы описали еще в вопросе, а дальше рекомендую не накалять отношения. Т.к. по факту, реально защитится от злого уволенного админа выльется вашей фирме в кругленную сумму.

Answer 15

[Николай Турнавиотов]

а еще очень стоит проверить планировщики на всех серверах, т.к. гадость прекрасно можно сделать с любого редко и малоиспользуемого сервера, например windows server + radius — на прошлой моей работе я на него так ниразу и не заходил.

Answer 16

[wartur]

Мое мнение, все начинается с расширения персонала. Далее работа начинается в паре, даются задания параллельно. Все это конечно надо делать лояльно с человеком (это может быть месяц, два кстате). Далее в какой-то момент приходит на работу и все перенастроено. Далее начинается процесс увольнения. Единственно верный вариант. Все начинается с банального утверждения начальника, о том, что мы не успеваем делать работу — пора расширять коллектив.

Answer 17

[Flammar]

Нужно чтоб сисадминов было двое. А лучше трое. Не только на случай увольнения, а на случай отпуска или болезни — тоже.