Qui obtient un accès root?

8

Je travaille sur une application web qui gère certaines données sensibles. Nous renforçons la sécurité et établissons des politiques pour verrouiller l'accès aux machines et tout enregistrer à des fins d'audit technique.

La question à laquelle nous revenons toujours est la suivante: qui obtient le root?

Nos instances de serveur auront un utilisateur root. Cet utilisateur root aura un mot de passe. Qui devrait y avoir accès? Est-il possible / souhaitable d'avoir une machine sur laquelle personne ne peut avoir un accès root?

J'apprécierais vos réflexions sur le sujet.

root security Ross McFarlane
la source
Cela a été porté à mon attention. Cela ressemble à une bonne pratique.
Ross McFarlane

Réponses:

14

Personne. Faites-les utiliser sudopour que toutes les commandes de niveau racine soient enregistrées et attribuables à une personne spécifique.

ceejayoz
la source
6
+1. Changez le mot de passe root en quelque chose de très aléatoire, imprimez-le et scellez-le dans une enveloppe pour une utilisation d'urgence uniquement.
EEAA
4
modifiez également votre compte root .bashrc afin que PROMPT_COMMAND soit configuré pour tout enregistrer en tant qu'utilisateur root ordinaire dans syslog. Pratique.
Sirex
1
l'utilisateur peut utiliser sudo pour exécuter le shell, puis les commandes ne se connecteront pas (connexion uniquement bash)
ooshro
vrai, à moins qu'ils ne fassent "sudo bash -l" - ce qu'ils devraient faire. si vous définissez la racine .bashrc prompt_command, cela enregistrera cela aussi, ce qui est une raison pour laquelle cela vaut la peine.
Sirex
+1 Assurez-vous également de configurer sudo pour des niveaux d'accès plus élevés. À un endroit, tous les mots de passe root ont été conservés dans une enveloppe scellée juste au cas où, si le sceau était brisé, il devait être signalé pour des raisons de sécurité et les mots de passe changés.
st3v3o
3

Personne, sauf peut-être qu'un administrateur matériel obtient le mot de passe root! Le mot de passe root ne doit être utilisable que sur la console, pas via SSH ou d'autres services.

Utilisez des groupes pour définir l'accès à différents ensembles de programmes avec des privilèges élevés en utilisant sudo. Par exemple, le groupe de roues est généralement destiné aux personnes qui obtiennent des privilèges root, mais tout est enregistré en tant qu'utilisateur. Si les gens n'ont pas besoin de privilèges root complets mais seulement de quelques commandes comme un autre utilisateur, créez un autre groupe.

Caleb
la source
-1

Si vous utilisez et déployez selinux, il est possible de supprimer le compte divin typique "tout voir, tout savoir" qui est la configuration racine normale, et de le convertir en un compte plus sensible à la sécurité.

Sirex
la source
1
Comment? La réponse n'est pas vraiment utile tant qu'elle ne donne aucun pointeur sur la façon dont;)
0xC0000022L
C'est un sujet bien trop grand pour tenir dans une seule réponse. Mais à ma connaissance, selinux peut être (et est souvent) utilisé à cette fin.
Sirex
-5

Mon opinion est que les gens ne devraient pas exécuter de commandes nécessitant des autorisations root, sauf bien sûr lorsqu'ils sont réellement connectés en tant que root.

Je recommanderais d'utiliser su (passe à l'utilisateur root) au lieu de sudo (augmente temporairement les autorisations au niveau racine pour une commande) pour cette raison. S'ils ont besoin de l'autorisation root, faites-les passer à l'utilisateur root.

Ma question est, que font vos utilisateurs qui pensent avoir besoin de root?

user76897
la source
4
@ user76897: Je ne suis pas d'accord. sudoest parfaitement adapté à l'objectif et il enregistre chaque commande directement émise avec le sudopréfixé. Où, lorsque su est utilisé, vous obtenez un shell et rien à l'intérieur de ce shell n'est enregistré. /etc/sudoerspeut être réglé beaucoup. Vous pouvez dire quelle commande peut être exécutée en tant qu'utilisateur par quel utilisateur et s'il faut ou non un mot de passe, ainsi qu'une multitude d'autres options utiles. L'une des raisons pour lesquelles quelqu'un peut avoir besoin de root est de redémarrer un démon. Ceci est facilement réalisé sudosans donner un accès complet au compte root.
0xC0000022L
Cette réponse n'a aucun sens ou ne répond pas à la question. La préférence de suplus sudon'est pas défendue et, selon la plupart des autres voix ici, ferait en fait partie du problème d'origine du gars, pas une solution.
Caleb