Бір логин бәріне: ортақ есептік жазбалар компания үшін неге қауіпті

Бір есептік жазбаны бірнеше қызметкердің пайдалануы әлі де көптеген ұйымдарда кездеседі. Мұндай схема әсіресе серверге, 1С-ке, ортақ бумаға немесе қашықтағы жұмыс үстеліне қол жеткізуді тез беру қажет болған кезде пайда болады.

Бір логин жасалады, құпиясөз бірнеше адамға беріледі — мәселе шешілгендей көрінеді.

Техникалық тұрғыдан бұл шынымен оңай. Бірақ ақпараттық қауіпсіздік және пайдаланушылар әрекеттерін бақылау тұрғысынан мұндай схема елеулі проблема туғызады: жүйе нақты әрекетті қай адамның орындағанын бірмәнді анықтай алмай қалады.

Ортақ есептік жазбалар неліктен пайда болады

Әдетте бұған әдейі қауіпсіздікті бұзу себеп болмайды.

Мұндай схема біртіндеп қалыптасады.

Мысалы, компанияда ортақ бағдарламамен жұмыс істеу үшін бір пайдаланушы жасалады. Кейін сол логинге екінші қызметкерге, одан соң үшінші қызметкерге қол жеткізу беріледі. Біраз уақыттан кейін есептік жазба іс жүзінде ортақ болып кетеді.

Тағы бір кең таралған сценарий — RDP арқылы қашықтан жұмыс істеу. Әр қызметкерге жеке есептік жазба жасаудың орнына бөлімдегі барлық пайдаланушы білетін бір логин мен құпиясөз қолданылады.

Кейде ортақ логин қарапайымдылық үшін жасалады:

• әр қызметкерге жеке пайдаланушы жасамау үшін;
• құқықтарды бірнеше рет баптамау үшін;
• бәрінде бірдей жұмыс үстелі болуы үшін;
• қызметкер ауысқан сайын бағдарлама баптауларын өзгертпеу үшін;
• әкімшіге жүйені қызмет көрсету оңай болу үшін.

Бірақ бастапқы баптау кезіндегі әкімшіге ыңғайлылық кейін кез келген инцидентте проблемаға айналады.

Негізгі мәселе — жеке жауапкершіліктің жоғалуы

Әр қызметкер өз есептік жазбасымен жұмыс істесе, журнал әрекетті нақты пайдаланушымен байланыстыра алады.

Ортақ логин қолданылса, мұндай байланыс жоғалады.

Мысалы, ортақ бумадан маңызды файл өшірілді делік.

Журнал бұл әрекетті office пайдаланушысы орындағанын көрсетеді. Бірақ осы логинмен төрт қызметкер жұмыс істейді.

Техникалық тұрғыдан жүйе оқиғаны тіркеді. Іс жүзінде тергеу бір сұраққа келіп тіреледі: сол сәтте нақты кім жұмыс істеді?

Егер басқа дереккөздер болмаса, бірмәнді жауап алу мүмкін болмауы ықтимал.

Бір логин аудиттің тиімділігін айтарлықтай төмендетеді

Журнал жүргізу оқиғаны нақты субъектпен байланыстыруға болатын кезде ғана толық мәнге ие.

Мысалы, Windows Security кірулерді, топтардағы өзгерістерді, файлдармен жұмысты және басқа оқиғаларды тіркей алады.

Бірақ бір есептік жазбаны бірден бірнеше адам пайдаланса, мұндай аудиттің дәлдігі күрт төмендейді.

Бұл тек Windows-қа қатысты емес.

Дәл осындай проблема мына жүйелерде де кездеседі:

• 1С;
• CRM;
• корпоративтік пошта;
• желілік бумалар;
• VPN;
• RDP;
• бұлттық сервистер;
• әкімшілік панельдер;
• бейнебақылау және СКУД жүйелері.

Егер жүйе жеке есептік жазбаларды қолдаса, ортақ логинді қолданудың әдетте мәні жоқ.

RDP кезінде бұл әсіресе нашар жұмыс істейді

Терминалдық серверлер мен қашықтан қол жеткізілетін компьютерлерде жеке есептік жазбалар ерекше маңызды.

RDP пайдаланушылардың кіруін, қосылу уақытын, сеанстың аяқталуын және басқа оқиғаларды тіркеуге мүмкіндік береді.

Бірақ бірнеше қызметкер бір логинді қолданса, бұл ақпараттың құндылығы күрт төмендейді.

Қашықтан жұмыс істеу архитектурасын «RDP, AnyDesk және Radmin: қашықтан қол жеткізуді қалай қауіпсіз ұйымдастыруға болады» мақаласында егжей-тегжейлі қарастырдық.

Ортақ құпиясөз тез арада құпия болудан қалады

Жеке есептік жазбаның құпиясөзін бір қызметкер біледі.

Ортақ есептік жазбаның құпиясөзін сол қол жеткізу бір кездері қажет болған барлық адам біледі.

Уақыт өте келе мұндай адамдардың тізімі әкімшінің өзіне де белгісіз болуы мүмкін.

Құпиясөзді мессенджер арқылы әріптеске жіберуі, қағазға жазып қоюы, браузерде сақтауы немесе уақытша қызметкерге беруі мүмкін.

Бір жылдан кейін оны нақты кімге бергенін ешкім есіне түсірмейді.

Іс жүзінде мұндай құпиясөз жеке құпия ретіндегі қызметін жоғалтады.

Қызметкер жұмыстан шыққанда не болады

Жеке есептік жазбада бәрі салыстырмалы түрде оңай: қызметкер жұмыстан шығады — оның аккаунты бұғатталады.

Ортақ логинде жағдай күрделірек.

Егер адам ортақ есептік жазбаның құпиясөзін білсе, есептік жазбаның өзін бұғаттауға болмайды — онымен басқа қызметкерлер жұмысын жалғастырады.

Демек, ортақ құпиясөзді өзгертіп, жаңасын қалған пайдаланушылардың бәріне қайта беру қажет.

Іс жүзінде бұл жиі кейінге қалдырылады.

Нәтижесінде бұрынғы қызметкер теориялық тұрғыдан әлі де қолданыстағы кіру реквизиттерін білуі мүмкін.

Мердігер ауысқанда да дәл осындай проблема туындайды

Ортақ есептік жазбаларды тек қызметкерлер емес, сыртқы мамандар да жиі пайдаланады.

Мысалы, бір әкімшілік логин жүйелік әкімшіге, қызмет көрсетуші компанияға және бірнеше ішкі қызметкерге беріледі.

Бірнеше жылдан кейін құпиясөзді әлі кім білетінін анықтау қиын болады.

Мердігер ауысқан кезде мұндай реквизиттерді компрометацияланған деп қарастырып, ауыстыру қажет.

Бұл тек Windows-қа емес, VPN, роутерлер, NAS, хостинг, камералар, AnyDesk және басқа жүйелерге де қатысты.

Ортақ пайдаланушы және әкімшілік құқықтар — әсіресе қауіпті үйлесім

Егер ортақ есептік жазба қарапайым пайдаланушы болса, мәселе алдымен әрекеттерді нақты адаммен байланыстыруға қатысты.

Ал егер ортақ логин Administrators тобына кірсе, тәуекел айтарлықтай өседі.

Нәтижесінде құпиясөзін бірнеше адам білетін бір әкімшілік есептік жазба пайда болады.

Мұндай жағдайда нақты пайдаланушыны ғана емес, жүйе конфигурациясын кім өзгертуі мүмкін болғанын да анықтау қиындайды.

Тұрақты әкімшілік құқықтардың тәуекелдері туралы «Жұмыс компьютеріндегі жергілікті әкімші: бұл неге қауіпті және құқықтар қашан шынымен қажет» мақаласында бөлек жаздық.

Бір логинді бірнеше компьютерде пайдалану — басқа, бірақ ұқсас мәселе

Екі жағдайды ажырату керек.

Біріншісі — бірнеше адам бір есептік жазбаны пайдаланады.

Екіншісі — бір адам өзінің жеке есептік жазбасын бірнеше құрылғыда пайдаланады.

Екінші жағдайда, егер есептік жазба шынымен бір адамға ғана тиесілі болса, жеке идентификация сақталады.

Мәселе реквизиттер басқа адамдарға берілген кезде басталады.

1С жүйесіндегі ортақ есептік жазбалар

Корпоративтік жүйелерде де жеке логиндер маңызды.

Егер бірнеше қызметкер 1С жүйесінде бір пайдаланушы атынан жұмыс істесе, ішкі журналдар мен өзгерістер тарихында бір есептік жазбаның атауы көрсетілуі мүмкін.

Ал іс жүзінде әрекеттерді әртүрлі адамдар орындаған.

Бұл әсіресе мына жағдайларда қолайсыз:

• құжатты кім өзгерткенін анықтау қажет болса;
• операцияны кім өткізгенін анықтау қажет болса;
• реквизиттерді кім өзгерткенін анықтау қажет болса;
• деректерді кім жойғанын немесе түзеткенін анықтау қажет болса;
• нақты уақытта жүйеде кім жұмыс істегенін анықтау қажет болса.

Қолжетімді журналдардың нақты құрамы жүйе конфигурациясына байланысты, бірақ жеке есептік жазбалар кез келген жағдайда әрекеттердің анағұрлым түсінікті көрінісін береді.

Ортақ желілік бумалар және файлдарға қол жеткізу

Желілік ресурстарға қол жеткізуде де ұқсас жағдай туындайды.

Егер барлық қызметкер файлдық серверге бір пайдаланушы атынан қосылса, сервер бір ғана есептік жазбаны көреді.

Файлдық аудит қосылған болса, файлды өзгерту немесе жою оқиғасы дәл сол есептік жазбамен байланыстырылып жазылады.

Мысалы, журнал мынаны көрсетуі мүмкін:

User: shared_user
Action: Delete
File: report.xlsx

Бірақ shared_user атынан он адам жұмыс істесе, бұл әрекет авторын сенімді анықтау үшін жеткіліксіз.

Адамды тек IP-мекенжай арқылы анықтауға бола ма

Кейде жеке логиндерді IP-мекенжайларды талдаумен алмастыруға тырысады.

Бұл пайдалы қосымша ақпарат көзі, бірақ толыққанды алмастыру емес.

IP әрекет жасалған құрылғыны анықтауға көмектесуі мүмкін.

Алайда бір компьютерді бірнеше адам пайдалануы мүмкін, мекенжай динамикалық түрде тағайындалуы мүмкін, ал VPN немесе NAT арқылы қосылу бастапқы пайдаланушы мекенжайын жасыруы мүмкін.

Сондықтан бірнеше белгіні бірге салыстырған сенімдірек:

• жеке есептік жазба;
• оқиға уақыты;
• IP-мекенжай;
• компьютер атауы;
• кіру түрі;
• журналдағы байланысты оқиғалар.

Жеке логин құпиясөзді басқа адамға беруге болады дегенді білдірмейді

Кейде есептік жазбалар формалды түрде бөлек болғанымен, қызметкерлер бір-бірінің құпиясөздерін біледі.

Мұндай жағдайда пайдаланушыларды техникалық бөлу мағынасын жоғалтады.

Егер бухгалтер директордың атынан кіре алса немесе бір қызметкер екіншісінің құпиясөзін білсе, журнал әрекетті шынымен есептік жазба иесі орындағанына кепілдік бермейді.

Сондықтан бөлек логиндер ғана емес, мына қағида да маңызды: есептік жазба мен оның құпиясөзі нақты пайдаланушыға тиесілі және басқа адамдарға берілмейді.

MFA жеке идентификацияны қосымша күшейтеді

Мүмкін болған жерде жеке есептік жазбаларды көпфакторлы аутентификациямен толықтырған дұрыс.

Бұл әсіресе мына жүйелер үшін маңызды:

• корпоративтік пошта;
• VPN;
• бұлттық сервистер;
• әкімшілік панельдер;
• маңызды корпоративтік жүйелер.

MFA есептік жазбаның компрометациясын толық болдырмайды, бірақ қосымша тосқауыл жасайды және бір ұрланған құпиясөздің құндылығын төмендетеді.

Қызметтік аккаунттармен не істеу керек

Әрбір ортақ есептік жазбаны автоматты түрде қате деп санауға болмайды.

Нақты қызметкерге тиесілі емес техникалық және қызметтік есептік жазбалар бар.

Мысалы, бөлек аккаунт қызмет, жоспарлаушы тапсырмасы, резервтік көшіру немесе жүйелер арасындағы интеграция үшін қолданылуы мүмкін.

Бірақ мұндай есептік жазбаларды адамдар күнделікті жұмыс үшін емес, жүйенің өзі пайдалануы тиіс.

Ортақ логиннен жеке есептік жазбаларға қалай көшуге болады

Шағын компания үшін мұндай көшу әдетте күрделі жобаны қажет етпейді.

1. Ортақ есептік жазбаларды табу. Windows, RDP, VPN, 1С, желілік бумалар және негізгі бұлттық сервистерді тексеру.
2. Нақты пайдаланушыларды анықтау. Әр ортақ логинмен қазір кімдер жұмыс істейтінін түсіну.
3. Жеке аккаунттар жасау. Әр қызметкерге өзінің есептік жазбасын беру.
4. Құқықтарды көшіру. Қызметкерлерге бумаларға, бағдарламаларға және жүйелерге тек қажетті қол жеткізуді беру.
5. Жұмысты тексеру. Бизнес-процестер жаңа аккаунттармен қалыпты жұмыс істейтініне көз жеткізу.
6. Ортақ логинді өшіру. Егер ол енді қажет болмаса, «керек болып қалар» деп қалдырмау.
7. Ескі құпиясөздерді ауыстыру. Әсіресе ортақ реквизиттер әкімшілік немесе қашықтан қосылу үшін қолданылған болса.

Дәл қазір нені тексеруге болады

Жеке есептік жазбалар тергеуді жеңілдетеді

Инцидент кезінде оқиғаның өзі ғана маңызды емес.

Әрекеттер тізбегін қалпына келтіру қажет:

Пайдаланушылар неғұрлым жақсы бөлінсе, осы тізбекті соғұрлым дәлірек қалпына келтіруге болады.

Ортақ логин іс жүзінде бірінші элементті — «кім» дегенді — жояды.

Ал онсыз қалған журналдар да айтарлықтай аз ақпарат береді.

Журнал жеткілікті ұзақ сақталуы тиіс

Жеке есептік жазбалар болғанның өзінде, қажетті оқиғалар әлдеқашан қайта жазылып кетсе, аудит көмектеспейді.

Мысалы, Windows Security журналының максималды көлемі тым аз болып, тарихтың қысқа кезеңін ғана сақтауы мүмкін.

Бағалау үшін біздің Windows Security журналының тарих тереңдігін есептеу калькуляторын пайдалануға болады.

Ол оқиғалардың ағымдағы көлемі кезінде журналға шамамен қанша күндік тарих сыятынын бағалауға көмектеседі.

Жеке қол жеткізу — жалпы қауіпсіздік моделінің бір бөлігі

Жеке есептік жазбалар ақпараттық қауіпсіздіктің барлық мәселесін шешпейді.

Олар басқа шаралармен бірге жұмыс істеуі тиіс:

• минималды қажетті құқықтармен;
• MFA-мен;
• қашықтан қол жеткізуді бақылаумен;
• журнал жүргізумен;
• жүйелерді тұрақты жаңартумен;
• антивирустық қорғаныспен;
• резервтік көшірумен;
• қызметкерлерді оқытумен.

Бірақ дәл жеке есептік жазба қол жеткізуді қалыпты басқару мен аудиттің негізін қалыптастырады.

Неден бастау керек

Шағын ұйым үшін алғашқы қадам қарапайым: негізгі жүйелердің тізімін жасап, олардың қайсысында ортақ логиндер қолданылатынын тексеру.

Алдымен маңызды нүктелерден бастаған дұрыс:

• Windows Server;
• RDP;
• 1С;
• VPN;
• желілік бумалар;
• пошта;
• бұлттық қоймалар;
• әкімшілік панельдер.

Егер бір аккаунтты бірнеше адам пайдаланса, мына сұрақты қою керек: ертең нақты әрекетті кім орындағанын дәлелдеу қажет болса, не болады.

Егер жауапты анықтау мүмкін болмаса, қол жеткізу жүйесін инциденттен кейін емес, алдын ала қайта қараған дұрыс.

WEB-LABS IT-инфрақұрылымға техникалық тексеру жүргізеді. Оның аясында есептік жазбаларды, әкімшілік құқықтарды, RDP, желілік ресурстарды, Windows журналдарын және пайдаланушылар әрекеттерін бақылауға әсер ететін басқа параметрлерді тексеруге болады.