Перейти к публикации

Как контролировать сисадмина?


Странник

Рекомендованные сообщения

Эпоха информационных технологий в роде человеческом началась, наверное, вместе с появлением Адама и Евы, но лишь к концу двадцатого – началу двадцать первого века нашей эры стала в явном виде просматриваться возможность перехвата управления лицом, не имеющим законных прав, но знающим пароль администратора. По сути своей это конечно уходящая корнями в метаисторию теория суда, что даёт заговорщику возможность довести свой замысел до такой стадии, когда всё станет очевидно всем и каждому, а значит и запирательства злодею не помогут. Разумеется, что бы вести себя так, нужно как минимум знать всё наперёд, быть неуязвимым ни для какого оружия да ещё обладать совершенно безграничными могуществом и властью. Однако человек такими силами не обладает, а CAD/CAM/CAE/PDM вкупе с MS Office и Google затягивают современного ремесленника всё сильнее и сильнее.

Хакеру конечно по силам только подсмотреть и напакостить, но системный администратор уже сейчас вполне объективно должен концентрировать у себя всю постановку ПО на компьютеры, а значит и права администрирования серверов и рабочих мест. В том числе иметь полный доступ в электронные хранилища технической документации, финансовые и кадровые базы данных. Как же исключить возможность ситуации, когда в один нескучный день команды по предприятию вместо реального директора будет раздавать кто-то другой, сумевший узнать или сменить код доступа? Есть что либо кроме жалобы в более властную структуру с последующим прибытием на разборки крепких ребят из ОМОН/ФСБ? :blink:

Ссылка на сообщение
Поделиться на других сайтах


Никак. Только грамотный подбор кадров. Иначе останется возможность только исправлять уже созданную ситуацию. С ОМОНом или как-то по-другому.

По-моему такая ситуация сродни терроризму. С ним тоже серьёзно бороться почти нереально. Поди знай, что у человека в голове? Если он готовит гадость молча, то ничего и не узнаешь пока он эту гадость уже не сделает.

Ссылка на сообщение
Поделиться на других сайтах

Хакеру конечно по силам только подсмотреть и напакостить, но системный администратор уже сейчас вполне объективно должен концентрировать у себя всю постановку ПО на компьютеры, а значит и права администрирования серверов и рабочих мест. В том числе иметь полный доступ в электронные хранилища технической документации, финансовые и кадровые базы данных.

Не совсем так, администратором компа на работе являюсь я один, удалённого администрирования у нас нет. Раньше даже доступ к расшареным папкам был лишь по разрешённым IP, но потом сменили ан. вир. При этом никто не запретит хранить инфу в запароленом архиве. Это к тому-же, страховка от обманов при расчёте :rolleyes:
Ссылка на сообщение
Поделиться на других сайтах

Вспомните фильм "Парк Юрского периода". Если кто смотрел :-)

Что там сисадмин натворил...

Ну, правда, в фильме он же был вроде и разработчиком...

Ссылка на сообщение
Поделиться на других сайтах

Это уже пройденный этап, по мере роста числа сотрудников и требований к качеству информационной системы удалённое администрирование появится обязательно. Обычно тут движет необходимость единообразия систем, а так же противодействие геймерству.

Сотрудников за компом у нас под сотню, ( во всей конторе). И первым буду против введения удалённого администрирования у нас в отделе. Нельзя хранить все яйца в одной корзине. А вот запароленый архив и удалённому админу не по зубам.
Ссылка на сообщение
Поделиться на других сайтах

например так:

системный админстратор отвечает только за общесистемные функции, на базы данных свой админ. На двух больших предприятиях где я работал именно так.

Финансовые БД там свой админ.

Кадры, зарплата - свой админ.

документооборот - свой админ.

Ссылка на сообщение
Поделиться на других сайтах

на предприятии, где я раньше работал, админ сам информацию защищал, сам потом ее и вынес, вывод: платить админу надо столько сколько он просит.

Ссылка на сообщение
Поделиться на других сайтах

на предприятии, где я раньше работал, админ сам информацию защищал, сам потом ее и вынес, вывод: платить админу надо столько сколько он просит.

рано или поздно ему (сисадмину) кто-то НЕ с этого предприятия предложит больше...
Ссылка на сообщение
Поделиться на других сайтах

Итак, пока видятся только 2 пути и оба административные, и оба классические:

-кадры решают всё

-разделяй и властвуй

Однако гарантии не может дать ни один из них...
Странник,

не совсем так. Правильнее объединить оба эти подхода в одно целое т.к. они ничуть не противоречат друг другу, а прекрасно дополняют друг друга.

Ссылка на сообщение
Поделиться на других сайтах

А еще проще обратиться к специалистам по защите электронной информации. Ситуация проста, как с налоговой - платим денежку и спим спокойно. Существуют всевозможные методы защиты данных от простого шифрования в Windows, до специальных программ шифрования и распределения по серверам, так что ваш админ даже если сможет утащить все сервера, без ключа на зашифрованном носителе ничего открыть не сможет. Вы как пользователь не будете ощущать действия этих программ, они работают тихо и не заметно, не грузят не тормозят ничего. Что бы не было возможности снять данные с терминала(то есть с вашей машины) можно легко настроить шифрование в Windows.

Как всегда все упирается в деньги.

Я работал с одним заказчиком у него был договор с такого рода фирмой, система была устроенна так что инженер не мог послать мне даже байта информации без соответствующей процедуры проверки.

Ссылка на сообщение
Поделиться на других сайтах

Это всё здорово конечно, но даже из банков информацию крадут. А уж они защищены качественно. И главная проблема тут - человек. Какая разница откуда он с вашей фирмы или с другой?

Я так понял, что Странник поднял тему защиты от захвата компьтерных систем именно в плане человеческого фактора. Или я что-то не так понял?

Ссылка на сообщение
Поделиться на других сайтах

Это всё здорово конечно, но даже из банков информацию крадут. А уж они защищены качественно. И главная проблема тут - человек. Какая разница откуда он с вашей фирмы или с другой?

Я так понял, что Странник поднял тему защиты от захвата компьтерных систем именно в плане человеческого фактора. Или что-то не так понял?

Банки защитить очень и очень трудно, лишь по той простой причине что есть несколько тысяч клиентских терминалов (клиентов банка), которые физически невозможно защитить. Если вспомнить последнюю атаку на сервера пентагона, то там так же был "пробой" именно с подключением незащищенных терминалов. Конторку Странника с сотней другой компьютеров можно защитить специальными средствами. Комьютеры превращаются в терминалы без внешних носителей. Его админ не будет иметь доступа к информации, фирма же будет контролировать потоки, но так же не будет иметь полного доступа к информации. Полный доступ к информации будут иметь лишь те люди у которых будут спецэлектронные ключи и их дубликаты. Вопрос упирается только в деньги и не малые.
Ссылка на сообщение
Поделиться на других сайтах

Странник

Ну извлекут IT-шники из пользовательских компьютеров все дополнительные порты да дисководы... и что с того? Разве простая отвёртка не позволит обойти этот маленький неприятный момент?

Спец терминалы изначально построенны на материнках с которых удалена вся переферия кроме входов для клавы, мыши и сетевой карты. Так что простой отверткой можно будет поковыряться разве что только в ушах, для лучшей слышимости, в реале из такого терминала можно будет выудить только железо винта, ну разве что для помойки . И информация на этом винте будет в зашифрована, а ключ будет находиться на удаленном сервере и это еще в самом простом случае, потому что в терминале может быть установленна аппаратная шифрация и тогда каждый файл будет зашифрован своим ключем. Тогда уж точно будете миллионы лет расшифровывать.

Да и "пупки" таки захотят не десктопы, но ноутбуки с мобильной сетью.

Пупки ваши получат специальные "лапти" и будем радость и счастье.

К тому же, всё одно нужно будет качать из интернета либо с дисков заплатки и сервиспаки и на операционку, и на CAD/CAM/CAE/PDM... вот вам и пути проникновения-оттока информации.

Заплатки будете получать на дисках, сервис паки на операционку также. Накатывание их происходит только после проверки и только с сервера. Такие терминалы никто никогда не подключает у интернету, для интернета устанавливают отдельный сервер и отдельные терминалы. При этом доступ сотрудников к интернету ограничивают. Так что вместо того чтобы надеятся на какого-то админа, крутиться по ночам и думать о катаклизмах вселенского масштаба наймите специалистов. Думаю что при их участии взбрыкивание хитрож.пого админа, будет минимальной потерей для вас только самого этого админа.
Ссылка на сообщение
Поделиться на других сайтах

Ну а как же тогда быть с PDM, общей базой данных предприятия и коллективной работой вообще?

Так же как и раньше. Просто вы не будете замечать этих "бойцов невидимого фронта".
Ссылка на сообщение
Поделиться на других сайтах

Странник

1. PDM-системы подразумевают наличие:

-центрального хранилища на сервере;

-основной рабочей папки (ОРП) на локальной машине;

-первичного оригинала в произвольном месте на локальной машине (если модель создавалась именно на этом компьютере).

Допустим, на сервере и в ОРП может быть единый шифровальный ключ, но как быть с исходным оригиналом и всякого рода библиотечными элементами (которые тоже должны храниться именно в PDM)?

2. База данных отдела кадров по идее должна служить остовом для пользовательских баз операционной- и PDM-системы, да и проделанные пользователем работы тоже должны как то отражаться в послужном списке у кадровиков, а шифр то у каждой из систем свой. Что делать?

Не думаю что это большие сложности для специалистов. Максимум они допишут нужные модули.

3. Что помешает владеющему ключём операционной системы администратору просто воспользоваться сеансом удалённого рабочего стола?

Ничего. Но вы же не лапоухие ламеры чтобы открывать ему доступ к вашему рабочему столу, с вашим юзер именем и паролем. Даже если у него будут администраторские права это еще не значит, что он сможет что то скачать без ваших аттрибутов (имя пользователя и ваш личный пароль).

Странник

В сети есть несколько книг по данному вопросу. А также очень интересные трактаты о простых системах защиты, а также сложных многоуровневых систем с различными видами алгоритмов защит.

Ссылка на сообщение
Поделиться на других сайтах

Diletant

Странник , какой блокбастер вы посмотрели? Я тоже хочу...

Странник может быть и сгустил краски, но вообще-то вряд ли над этой темой стоит прикалываться. Есть очень наглядные жизненные примеры.
Ссылка на сообщение
Поделиться на других сайтах

Странник , какой блокбастер вы посмотрели? Я тоже хочу...

Так Вы разве еще не ощутили всю СТРАНность собственного положения в континууме пространства-времени???

Вы УЖЕ ТАМ - в блокбастер`е...

Хе-хе, то-ли еще будет...

PS. "Хе-хе" - это я угрюмое/зловещее/угрожающее хихиканье отрабатываю...

Скоро съемки.

Вот забыл: то-ли в триллере, то-ли в рекламе...

Ссылка на сообщение
Поделиться на других сайтах

Коллеги,

Я понимаю - воскресенье, лето, некоторое расслабление перед трудовой неделей,.....

Но давайте с приколами завязывать.

Ссылка на сообщение
Поделиться на других сайтах

Diletant

Странник может быть и сгустил краски, но вообще-то вряд ли над этой темой стоит прикалываться. Есть очень наглядные жизненные примеры.

... слишком долго я писал ответ - не увидел это сообщение...

Эх-х, наверно буду наказан... :confused_1:

PS. но вроде ветка-то "Флейм"...

ужель и тут свободы не видать??

Ссылка на сообщение
Поделиться на других сайтах
Гость
Эта тема закрыта для публикации сообщений.
  • Сейчас на странице   0 пользователей

    Нет пользователей, просматривающих эту страницу.




  • Сообщения

    • Lev72rus
      Есть ли более свежая ссылка на видео? Похожая беда сейчас
    • bard
      Странно, как-то. Кто Вам разрешит отгружать изделия (не важно) какие по безлитерной документации? Кто Вам разрешит использовать в литерованном изделии безлитерные части? Если Вы приняли неверные технические решения, как Вы про это узнаете не проведя испытания?
    • vad0000
      Не важно, Не нужен output при зелёной и красной кнопки.
    • ispite
      Всем привет, спасибо за ответы, но просто так не удалось создать сборку, солид выдавал ошибку. Пришлось Сохранить как IGES (файл разросся до 920 МБ), потом открыл как деталь (в нейстало шустрее работать), нажал "создать сборку" и она создалась! НО она создалась без поверхностей, а они тоже нужны Всем привет, спасибо за ответы, но просто так не удалось создать сборку, солид выдавал ошибку. Пришлось Сохранить как IGES (файл разросся до 920 МБ), потом открыл как деталь (в ней появились Тела и Поверхности и стало шустрее работать), нажал "создать сборку" и она создалась! НО она создалась без поверхностей, а они тоже нужны. Как создать сборку с телами и поверхностями? Пробовал в детали сохранить поверхности, но оно как будто работает наоборот и все поверхности стирает.  PS удалите плз предыдущий ответ, я его случайно отправил.
    • Alexey8107
      Всем доброго дня. Имеется ивановский обрабатывающий центр ИС-800, в нем установлены: PSM-45HVi A06B-6120-H045 SPM-30HVi A06B-6121-H030#H550 Возникла авария 9030 Overcurrent in the converter input circuit. Если смотреть В-65285 в этом случае на PSM должна отображаться 1, а на SPM - 30. Так оно и есть на самом деле. Документ ссылается на пункт 3.1.1, в свою очередь этот пункт говорит о неисправности PSM и следует проверить Входящее питание. Скорее всего здесь имеется ввиду питание управления, оно 240 В и стабильно Рекомендуют проверить реактор. Сразу откидываем, т.к. дело до включения силового питания еще даже не доходит, МСС отключен. Да и реактор штатный, всю жизнь работал с этим реактором. Проверить IGBT. Проверить проверил как мог, на КЗ, но дело до силовухи еще не доходит, ее питания еще нет и физически включиться не может из за MCC(ну это естественно, блок в аварии). Принципиально все рекомендации. На LEADWELL была похожая ситуация, на торможении шпинделя на PSM помнится выпадала авария 1, а на шпинделе не помню уже что. Тоже думали на PSM, а судя по всему мозг вынимал рекуператор в SPM. Т.к. на шине 500 вольт на торможении шпинделя напряжение вылетало далеко за 500 вольт выше. Здесь тоже нечто подобное, SPM опрокидывает PSM в аварию. Вобщем при включении питания станка, запитывается только управление на PSM, а он в свою очередь раздает 24 вольта на все остальные блоки по CXA2A, если все нормально и ЧПУ включена, замыкается контакт МСС, разрешая подачу силового питания на PSM. Шаги загрузки на полностью исправном станке PSM    SPM   -          A   -         50   -         12(или 18)   -         -- После включения ЧПУ и подачи силового питания   0         0 У нас PSM    SPM   -          A   -         50   -         12(или 18)   1         30 Включение силовухи невозможно. Что было сделано: 1. Проверены все питания, 240 СХ1А, 24 СХА2А, силовое питание, везде порядок. 2. Проверены IGBT на PSM и SPM, явного замыкания нет. 3. Проверены обмотки серво двигателя шпинделя. На всех 0,4 ома(сопротивление щупов 0,2 + обмотки 0,2 ома). Сравнил с заведомо исправным таким же двигателем(он стоит в другом таком же станке и работает), все тоже самое, На массу КЗ нет. Да и силовухи тоже нет, так что это бессмысленно. 4. Откинул от PSM разъем СХА2А(тупо обесточил остальные блоки от 24 вольт), включил питание управления, PSM перестал опрокидываться в ошибку, на дисплее "-". Ждал долго, не опрокидывается. Силовое питание подавать не стал, ибо чревато для остальных блоков, а скидывать шинку постоянного тока честно говоря поленился. 5. С соседнего станка снял плату управления SPM и переставил в неисправный станок, по номерам они идентичные. Станок включился и даже подал силовое питание на PSM без всяких аварий. Гонял пару минут в холостую, все было нормально, но после опрокинулся с той же ошибкой 1 и 30 на PSM и SPM соответственно. 6. Взял плату управления SPM с неисправного станка и установил в исправный. Станок включился и сколько бы не гонял, и даже шпинделем крутил, не опрокидывается. Т.е. к обоим платам претензий ноль. После вернул все обратно. Исправный станок работает как ни в чем не бывало, неисправный сразу опрокидывается в аварию почти сразу после включения управляющего питания. На ЧПУ ошибка 9030 и какие то еще по осям, но они связаны с отсутствием питания на шине постоянного тока если не ошибаюсь, так что это нормально. Итого, силовуха явных признаков неисправности не имеет, и даже на какое то время с другой платой включает силовое питание(скорее всего это связано с разбросом параметров защит на разных платах). К самому PSM тоже вроде претензий не должно быть, хотя В-65285 указывает именно на него. В истории с LEADWELL точно помню, что тоже все указывало на PSM(в том числе 1 на дисплее), и даже сервисный инженер FANUC был уверен в неисправности именно PSM. По факту, неисправен был как раз SPM. К платам управления тоже никаких претензий, обе работают в исправном станке. Единственное логическое объяснение, неисправность силовухи SPM. НО!!! Шина постоянного тока даже не думает запитываться, так что и тут с опрокидыванием сразу после включения есть засада! Ну не тестирует же SPM и PSM силовую часть напряжением 24 вольта??? Ведь до включения силового питания в этом случае даже не доходит из-за аварии! Может у кого есть еще идеи или опыт устранения таких дефектов? Помнится у фанука была типовуха на платах А16В-2203-0623 с датчиками тока, они отгорали и привод отваливался в аварию по одной из фаз. Это были привода шпинделя и двух осей в одном корпусе, были такие у нас на токарных. Сервисники фанука тогда их тучами меняли... Хотя тут я думаю не наш случай
    • Kelny
      Даже при всём при этом оно не всегда корректно работало, так что даже в старых версиях было быстрее удалить размер и потом вставить заново, чем искать эти точки размеров, а потом пытаться их привязать к новому месту.   Возможно это всего лишь глюк новой версии, в последних версиях они похоже штатно закладываются.
    • maxx2000
      @davidovka я их сразу ссыпаю в TEMP,  в тех что живы нет отметок о создании current_session.pro. Интересно что сам current_session.pro создаётся, но не обновляется дата в отличии от даты модели. Может быть и вправду менял какие нить настройки и забывал сохранить
    • Ahito
    • maxx2000
      т.е. доверять разработчикам оснований нет. Ясно-понятно
    • clavr
      все так и было до 2024 версии. размеры не импортировались. теперь вот в 2024 так нельзя. может где-то в настройках поменять что нужно? все перерыл, пока не нашел
×
×
  • Создать...