Gevoelige documenten op fileserver MKB

[besmart]

Heb sinds vorige week wat problemen met mijn baas in een klein bedrijfje.
In het bedrijf heb ik een fileserver op linux OS geinstalleerd en geconfigureerd.

Nou blijkt dat degene over de geldzaken en overige personeelsbelangen moeilijk gaat doen, omdat ik bij zijn bestanden zou kunnen komen en ze indien mogelijk zou gaan lezen.

Hierdoor heeft me baas het wachtwoord van die machine gewijzigd waardoor ik er niet meer in kan als het moet.

Nu is me vraag onder andere hoe andere beheerders hiermee omgaan met deze problematiek. Je werkt in het bedrijf en doet direct het beheer van de fileserver.

[Verwijderd]

Uiteindelijk kan een beheerder toch altijd overal bij komen, is een kwestie van vertrouwen en beroeps ethiek. Die kerel van geld & personeelzaken ziet toch ook alles van jouw langs komen, daar moet je ook maar op vertrouwen dat ie dat voorzichzelf houdt.

[Sick Nick]

Dan zeg je toch: 'he kerel, als die machine plat gaat dan heb je toch wel even wat downtime omdat je zonodig die pass moest veranderen. Je weet zelf wel wat dat kost toch, als die bak een uur plat ligt?' of iets in die strekking.

Dat je trouwens geen 2e account erop hebt met root access, je bent toch zelf de beheerder

[DJSmiley]

Niet moeilijk over doen, hun probleem als ie down gaat. Gewoon rustig uitleggen, en anders: jammer dan..

En idd, lekkere vertrouwensbasis, maar goed, ik ken de verdere omstandigheden niet,dus daar kan ik niet over oordelen.

Ik zelf weet ongeveer alles, alle wachtwoorden, pincodes, rekeningen, enzovoorts van mn baas

[itsalex]

Kijk dat het vertrouwen is ok. Maar je moet als beheerder er gewoon bij kunnen om je werk uit te voeren. Wordt dat belemmerd pech dan want dan kan je de schuld bij hem schuiven. Ik heb het ook gedaan in een bedrijf waar ik vertrouwelijk info op de server moest zetten dat niemand mocht lezen. Gezipped en beveiligd dus ik kreeg een waarschuwing van de systeembeheerder dat als het moet het bestand uit vertrouwen gelezen moet kunnen worden en dat stond in een regelement. Maar ik zou zeggen pech en dan kan je werk niet doen dus dan houdt het ook op.

[besmart]

Er is een erg goede vertrouwensbasis, not. Heb het een tijdje voor mezelf volgehouden, omdat het een familiebedrijf is. En dus klein is begonnen.

Ik weet het wachtwoord van zijn machine geneens. Heerlijk als je iets wil updaten. (Wordt dus ook niet gedaan.)
Wordt ook verkeerd voorgelicht door iemand anders, waardoor er onder andere Firewalls op geïnstalleerd worden.

Heb nu ook zoiets gezegt van. Als het wachtwoord niet gewijzigd wordt, kunnen ze beter op zoek naar een andere systeembeheerder. Mijn gevoel is ook beetje weird. Omdat ik het gevoel heb dat ze mij niet vertrouwen.

[swampy]

Wat je kan doen is een Mountable Image ( PGP like wise ) opzetten voor die gast die hij alleen kan openen en gebruiken ( aangezien hij de key/wachtwoord aanmaakt ).

Als hij problemen later krijgt met die mountable image....verwijs je hem ernaar dat jij er niet in kan en mag :-) en dat ook al krijg je toegang je niets eraan zal doen. Dit natuurlijk geheel volgens de bedrijfsregels.

[ Voor 20% gewijzigd door swampy op 10-10-2003 00:25 ]

[besmart]

itsalex schreef op 10 October 2003 @ 00:19:
Kijk dat het vertrouwen is ok. Maar je moet als beheerder er gewoon bij kunnen om je werk uit te voeren. Wordt dat belemmerd pech dan want dan kan je de schuld bij hem schuiven. Ik heb het ook gedaan in een bedrijf waar ik vertrouwelijk info op de server moest zetten dat niemand mocht lezen. Gezipped en beveiligd dus ik kreeg een waarschuwing van de systeembeheerder dat als het moet het bestand uit vertrouwen gelezen moet kunnen worden en dat stond in een regelement. Maar ik zou zeggen pech en dan kan je werk niet doen dus dan houdt het ook op.

Dat heb ik ze ook aangeboden als idee. Zet een rar of zip file in de administratie map en gooi steeds je documenten in die zip/rar file. Even je wachtwoord inratelen en iedereen is blij.
Maar ze zijn zo paranoia dat ik bijvoorbeeld even snel die file naar me email en een brute force erop ga los gooien.

[Verwijderd]

Heb nu ook zoiets gezegt van. Als het wachtwoord niet gewijzigd wordt, kunnen ze beter op zoek naar een andere systeembeheerder.

Ik denk dat dat de juiste aanpak is. Zeker als het ook nog eens zo is dat hij voor de security van z'n systeem zich door anderen laat informeren.

Overigens is het pertinent onwaar dat een beheerder overal toegang toe moet hebben. Je kunt bv. ook een admin-account maken met voldoende rechten om die machine gewoon te kunnen beheren, maar zonder rechten in die specifieke map.

In plaats van het probleem hier uit te spreken, moet je in gesprek met je baas. Leg hem uit dat dit voor jou niet prettig werkt en een erg wrange nasmaak geeft.

[ Voor 13% gewijzigd door Verwijderd op 10-10-2003 00:23 ]

[itsalex]

Ergens een brief vandaan halen met de verantwoordelijkheid van die server ligt bij hun en niet bij jou. Of die server helemaal op een apart netwerk zetten waar geen Internet of zo is en dat je niets eraf kan halen.

[mae-t.net]

Wat doe je daar nog? Je bent vast een goeie beheerder, en dan kan je betere klanten vinden. Misschien is jouw dreiging om op te stappen voldoende voor hun om zich op het hoofd te krabben. Zo niet dan probeerden ze je er misschien al uit te werken, misschien onder invloed van hun andere beheerder (2 kap'teins op 1 schip werkt al niet).

[elevator]

Verwijderd schreef op 10 October 2003 @ 00:22:
Je kunt bv. ook een admin-account maken met voldoende rechten om die machine gewoon te kunnen beheren, maar zonder rechten in die specifieke map.

Backups?

[swampy]

itsalex schreef op 10 October 2003 @ 00:24:
Ergens een brief vandaan halen met de verantwoordelijkheid van die server ligt bij hun en niet bij jou. Of die server helemaal op een apart netwerk zetten waar geen Internet of zo is en dat je niets eraf kan halen.

Het is zeker aan te raden om de verantwoordelijkheid te limiteren..als ze al zoveel vertrouwen in je als beheerder hebben. Natuurlijk zo uitgebreid mogelijk en als er iets foutgaat de hele verantwoordelijkheid lijst afgaan of het niet in hun gebied ligt.

[downtime]

besmart schreef op 10 October 2003 @ 00:19:
Er is een erg goede vertrouwensbasis, not. Heb het een tijdje voor mezelf volgehouden, omdat het een familiebedrijf is. En dus klein is begonnen.

Zonder vertrouwen kun je als admin niet functioneren omdat ze wel naar jou wijzen als het een keer mis gaat. Als admin moet je in principe vrije toegang tot die machines hebben.

Ik ken Linux niet zo goed maar misschien kun je iets bereiken met logging. Binnen W2K kun je, zover ik weet, alle events op een machine (incl. bestandstoegang) loggen. Dat log kun je wel uitzetten (of wissen) maar dan zie je als laatste entry in de log altijd nog dat het log uitgezet of gewist is.
Misschien kun je onder Linux ook iets dergelijks doen (dus een log wat ook door jouw niet te wissen is) en met je baas afspreken dat hij vrije toegang tot de logs krijgt in ruil voor de passwords die je nodig hebt.

[Qwerty-273]

Kan je zelfs nog zo ver gaan dat er geen back-ups van die bepaalde mappen mogen worden gemaakt want die neem je mee (of iemand anders) en zou ze ergens anders in kunnen lezen.

Advies, gewoon met je baas er over hebben dat je het geen probleem vind dat er bepaalde mappen niet bekeken mogen worden. Echter betekend dat ook dat daar geen ondersteuning op wordt geboden. Zelfde als met zijn pc. Is ie niet standaard en worden er dingen op gedaan die niet volgens de normale richtlijnen gaan. Dan is het jammer. Of een nieuw image er over met de richtlijnen. Of uit de ondersteuning en dan kunnen ze niet meer aankloppen als er iets mis gaat.

Heb hier namelijk op mijn huidge plek een probleem met sommige machines. Overal is er gebruik gemaakt van een image met standaard dingen. De gebruiker is ook locale admin op alleen zijn pc (vraag me niet waarom maar het is zo) en de IT afdeling zit in een bepaalde beheersgroep die aan alle locale machines aan de administrator groep is toegevoegd. Zodat wanneer er iets moet gebeuren de IT altijd toegang heeft tot machine.
Echter zijn er een aantal nitwits die dus het locale admin wachtwoord hebben veranderd, de IT beheer groep uit de locale administrators groep hebben gegooid en het dan nog vreemd vinden dat je geen kant op kan......

[VisionMaster]

Ik vind het wat lastig met Linux, want als root mag je overal bij. Ik had me in een windows omgeving kunnen voorstellen dat je de mappen van die leipo-speciaal onttrekt van administrators en dus dat jij er niet bij kan, maar wel de machine kan onderhouden. Uiteraard kan je jezelf weer rechten geven tot het lezen, maar dat zeg je er niet bij of dit is 1 van de vormen van vertrouwen die misschien aanvaartbaar is. Omdat mogelijk security wijzigingen in een log iets weg schrijven en dus aantonen dat er iets is veranderd in de NTFS structuur.
Wel die map backup rechten geven (idem voor je linux) anders er nog geen fuck mee.

Hmmm reminds me ....
Als je op je linux systeem er niet meer bij mag, kan je toch nimmer meer een backup draaien over je fileserver. Ik neem aan dat dat toch wel periodiek gedaan wordt.

[Brahiewahiewa]

Verwijderd schreef op 10 October 2003 @ 00:22:
[...]Overigens is het pertinent onwaar dat een beheerder overal toegang toe moet hebben. Je kunt bv. ook een admin-account maken met voldoende rechten om die machine gewoon te kunnen beheren, maar zonder rechten in die specifieke map.

In plaats van het probleem hier uit te spreken, moet je in gesprek met je baas. Leg hem uit dat dit voor jou niet prettig werkt en een erg wrange nasmaak geeft.

Een andere benadering is dat TS begint met het aanbieden van excuses aan z'n baas, omdat hij een server heeft opgezet zonder na te denken over een security model. Ieder bedrijf heeft dit probleem en er zijn ook vele manieren om dit probleem op te lossen. Dat je niet vantevoren hebt geprobeerd hier een oplossing voor te vinden is iets wat een goeie systeembeheerder zich eigenlijk niet kan permitteren. Dreigen met opstappen is in deze tijden van economische malaise ook niet bijster slim.

[downtime]

Brahiewahiewa schreef op 10 oktober 2003 @ 00:48:
Een andere benadering is dat TS begint met het aanbieden van excuses aan z'n baas, omdat hij een server heeft opgezet zonder na te denken over een security model.

Als je in een klein bedrijfje de opdracht krijgt om een servertje op te zetten is het niet zo voor de hand liggend om diep na te denken over het security model. Je gaat er dan vanuit dat je als admin volledige toegang tot de server krijgt en dat alleen voor de gebruikers de toegang beperkt wordt.
Als de baas dit niet wilde had hij dat tevoren moeten aangeven dan had TS wellicht aparte beheeraccounts met beperkte toegang kunnen creeren voor het beheer.

[Guru Evi]

Ik heb op mijn werk mogelijkheid tot root-access van meer dan 14000 domeinen waarvan 12000 enige soort van hosting.
Ik heb bij Skynet gewerkt (ISP) en ik had toegang tot alle gegevens van zowat 7 miljoen klanten.
De klant moet er maar op vertrouwen dat ik dat niet misbruikt.

[Verwijderd]

elevator schreef op 10 October 2003 @ 00:27:
[...]

Backups?

.. laat je uiteraard sowieso niet op het admin account lopen. Daar maak je een eigen account voor..

[Brothar]

Oplossing is toch simpel:
- of er is vertrouwen
- of die persoon beheert zijn eigen PC, zonder aansluiting Internet, Netwerk.
Geef dan ook nog's een removable HD.
En als ik me niet vergis is dat de situatie. Dreigen met opstappen lost niks op, dan heb je zelf een groter probleem. En inderdaad, zoals boven al geopperd, in een (periodiek functionerings-) gesprek kun je dit aankaarten, en daarbij de problemen (voor het bedrijgf van die handelwijze) aangeven. Inclusief het feit dat er nu een "externe beheerder" lijkt te zien op wiens advies die persoon af lijkt te gaan.

[mr_petit]

Geef dan ook nog's een removable HD floppy.

sorry hoor, maar wat een wanker zeg.

wat ik uit de post van de TS begrijp is dat de diegene van de geldzaken enz niet zij/de baas is.
hij weet dus ook allerlei vertrouwlijke zaken over de TS (en de baas weet dat ook).
hier is dus imo sprake van onprofessionele paranoia.
Een bedrijf kan onmogelijk functioneren als er geen vertrouwensband (tot op zekere hoogte) is tussen de directie en de werknemers.
Dat je documenten beveiligd met een password, zodat een sysadmin deze gegevens niet zomaar (desnoods per ongeluk) onder ogen krijgt is heel normaal, maar klakkeloos wachtwoorden veranderen van accounts......
je zou idd het ff snel kunnen mailen en daarna een paar maanden? kunnen brute forcen..... maar waarom zou je

ik denk dat je nog wel wat verhelderende gesprekken met je baas zal moeten begaan.

[Border|IA]

besmart schreef op 10 October 2003 @ 00:05:
Heb sinds vorige week wat problemen met mijn baas in een klein bedrijfje.
In het bedrijf heb ik een fileserver op linux OS geinstalleerd en geconfigureerd.

Nou blijkt dat degene over de geldzaken en overige personeelsbelangen moeilijk gaat doen, omdat ik bij zijn bestanden zou kunnen komen en ze indien mogelijk zou gaan lezen.

Hierdoor heeft me baas het wachtwoord van die machine gewijzigd waardoor ik er niet meer in kan als het moet.

Nu is me vraag onder andere hoe andere beheerders hiermee omgaan met deze problematiek. Je werkt in het bedrijf en doet direct het beheer van de fileserver.

het is waarschijnlijk doordat ze erg veel voor je te verbergen hebben wat het daglicht niet mag zien of kan verdragen...
normaal gesproken zou degenen die het wachtwoord wel heeft het meeste te verbergen hebben

[mutsje]

Ik beheer zelf ook een File en Print server met gevoelige informatie erop. Ik kan eventueel ook nog op andere servers komen met bijvoorbeeld HRM documenten die helemaal gevoelig liggen. Ik heb toen men mij vroeg hoe ik ermee om zou gaan simpel gezegt het behoord bij het beroep dat men de beheerder vertrouwd en op het moment dat een beheerder in docuementen gaat kijken ben je zelf fout bezig en je eigen glazen aan het ingooien. Nog een aspect is dat men bij terug zetten van backups opeens wel wil dat jij er bij kunt komen en dan kun je simpelweg de schuld bij je directeur neer leggen met mededeling de toegang is mij ontzegt ik kan niets. Het is een kwestie van vertrouwen en als men jou niet vertrouwd is er ook niet echt een basis voor samenwerking.

[Nulnulnix]

Hmmm, ik heb zelf o.m. bij de politie gewerkt als beheerder en kon gewoon bij alle documenten. Reken maar dat juist daar gevoelige informatie bij staat.
Maar eerlijk gezegd interesseerd mij die info niet eens...

Volgende keer maar een achterdeurtje "openzetten".
Zelf zou ik al nooit het root account gebruiken om mee in te loggen en dus maak ik 2 nieuwe beheersaccounts aan. Dan kan er in geval van calamiteit gewoon ingelogd worden!

Hier heb je nog een leuk argument voor je baas: hoe moet het verder als er iets met hem gebeurd (ongeval, ziekte, overlijden)? Die info is dan niet meer te bereiken!

Maar zoals al eerder vermeld: je hebt als beheerder een vertrouwenspositie bij een bedrijf. Wordt dat vertrouwen geschaad of niet gehonoreerd dan kun je m.i. beter op zoek naar iets anders.

[Verwijderd]

Waarom stel je niet voor om auditing op die gevoelige bestanden in te stellen, ik ben geen *nux kenner, maar onder NT/2k/2k3 kun je alle toegang tot bestanden laten bijhouden in het security log, perfect voor paranoide wezens.

Je kunt zelfs terugvinden wie wanneer wat heeft gedaan met bestanden, dat moet voldoende zijn.

[elevator]

Verwijderd schreef op 10 October 2003 @ 01:57:
.. laat je uiteraard sowieso niet op het admin account lopen. Daar maak je een eigen account voor..

waardoor je alsnog toegang tot die bestanden hebt, alleen onder een andere account. En af en toe een restore test is ook niet heel raar

[Verwijderd]

elevator schreef op 10 October 2003 @ 10:12:
[...]

waardoor je alsnog toegang tot die bestanden hebt, alleen onder een andere account. En af en toe een restore test is ook niet heel raar

Nee hoor. Je hoeft alleen maar toegang tot het mechanisme waarmee je instelt welke bestanden gebackupped moeten worden.

Denken dat een administrator overal bij moet kunnen is niets anders dan onkunde.

[Verwijderd]

Hier heb je nog een leuk argument voor je baas: hoe moet het verder als er iets met hem gebeurd (ongeval, ziekte, overlijden)? Die info is dan niet meer te bereiken!

Oh jawel hoor. Je boot die machine van een knoppix CD, mount je schijf en kloar.

[Emmeau]

Ik zou in een situatie als dit als volgt handelen:
1. Overleg met de financiele man, en kijken of er een oplossing te vinden is waarmee beide partijen kunnen leven.
2. Als dit niet mogelijk blijkt te zijn de financiele man uitleggen wat de gevolgen van zijn opstelling zijn. Langere downtime, etc etc.
3. De financiele man schriftelijk laten weten wat de gevolgen zijn van deze actie, welke besproken zijn in 2.
4. Management inlichten over het een en ander, inclusief een kopie van de brief in 3.

[Cardinal]

ik loop nu ook stage bij een klein bedrijf en zie hier en daar nogal wat cijfers, maar het zijn mijn zaken niet en heb toch een contract op geheim houding getekend.
is idd een kwestie van vertrouwen in een persoon en een kwestie van een persoon die van mierenneuken en moeilijk doen houd.
hij is waarschijnlijk bang dat jij zijn salaris ziet en dat van andere mensen en dat twee verschillende mensen die exact het zelfde verdienen elkaar loon te zien krijgen.

[Dennis]

Toen ik hier kwam stage lopen, zo'n 2 jaar geleden, kreeg ik op de eerste dag meteen het administrator wachtwoord van het hele domein. Ik schrok wel een beetje want had niet verwacht dat ik dat gelijk zou krijgen. Het was mijn eerste praktijkervaring dus wist ook niet wat ik ervan moest verwachten. Maar na een paar dagen kwam ik er al achter dat ik dat wachtwoord gewoon altijd nodig had.

Ik kan met dat wachtwoord overal bij, van administratie tot personeelszaken en van inbox tot homedirectory. Ik heb nog nooit misbruik gemaakt van dit recht en dat lijkt me ook niet meer dan logisch. Als je als beheerder misbruik maakt van het vertrouwen wat een bedrijf je geeft, dan ben je een ongelooflijke klootzak en had je beter een ander beroep kunnen kiezen.

Ik lees hierboven een aantal smakelijke voorbeelden van hoe het mis kan gaan als je geen vertrouwen krijgt. De beste oplossing voor het probleem wat je hierboven beschrijft is wachten tot die machine een keer grandioos naar de kolere gaat en dan lekker met je handen over elkaar gaan zitten .

[Verwijderd]

ooit van een geheimhoudingsverklaring gehoord?

[Verwijderd]

Verwijderd schreef op 10 October 2003 @ 15:06:
[...]


Nee hoor. Je hoeft alleen maar toegang tot het mechanisme waarmee je instelt welke bestanden gebackupped moeten worden.

Denken dat een administrator overal bij moet kunnen is niets anders dan onkunde.

euh, wie zorgt er dan voor dat die admin niet overal kan bijkomen, uiteindelijk is er toch altijd iemand die overal bij kan, of niet ?? (Zeker in een mkb bedrijf)

[Arfman]

Ik zit in het Serverbeheerteam op m'n werk, wat inhoudt dat ik zeg maar oppermacdaddykingpingoeroe ben van het netwerk

Nog nooit problemen mee gehad, ik heb wel een geheimhoudingsverklaring in mijn contract staan. Maar al die info boeit me niet eens, managementgeneuzel .

[Frankie02]

Als systeembeheerder kan in in theorie overal bij en kan met elk programma veranderingen/wijzigingen doorvoeren in diverse administraties. In theorie zou ik makkelijk (1 minuutje werk) mijn eigen loon kunnen aanpassen, boekhoudingen om zeep helpen, belangrijke brieven/documenten weggooien of pornoplaatjes in de mailbox van mijn leidinggevende gooien.

Maar waarom zou ik........ja ik moet regelmatig documenten van bepaalde personen overzetten naar andere personen of iemand rechten geven op bepaalde programma's of leesrechten in iemand ander zijn/haar mail omdat hij/zij op vakantie is...

Maar dat is gewoon mijn werk Bijna iedereen is eigenlijk gewoon blij met onze helpdesk, anders zou het echt een rotzooitje worden

PS: tijdens school heb ik een keer stage gelopen op een kantoor van de belastingdienst. Daar had men meerdere admins, en men had de adminrechten onder hen verdeeld zodat iedere admin toch niet alles kon doen.....

[ Voor 14% gewijzigd door Frankie02 op 10-10-2003 18:54 ]

[elevator]

Verwijderd schreef op 10 oktober 2003 @ 15:06:
Nee hoor. Je hoeft alleen maar toegang tot het mechanisme waarmee je instelt welke bestanden gebackupped moeten worden.

Denken dat een administrator overal bij moet kunnen is niets anders dan onkunde.

Maar test jij je backups nooit? Bijvoorbeeld via een restore test?

Hoe stel jij overigens in dat het "mechanisme" kan backuppen? Of heb je als (/een systeembeheerder) toch het passwoord van die account die overal bij kan?

[ Voor 14% gewijzigd door elevator op 10-10-2003 19:05 ]

[Brahiewahiewa]

elevator schreef op 10 oktober 2003 @ 19:03:
[...]Maar test jij je backups nooit? Bijvoorbeeld via een restore test?

Je restored inclusief de security, dus na de restore kun je er met je admin account nog steeds niet bij

Hoe stel jij overigens in dat het "mechanisme" kan backuppen? Of heb je als (/een systeembeheerder) toch het passwoord van die account die overal bij kan?

Die account is er niet (als het goed is). Er is alleen een account die kan bepalen wie bij welke data kan. Het password van deze Überscheißmeister account ligt meestal bij iemand van HR; in ieder geval niet bij een techneut

[elevator]

Brahiewahiewa schreef op 10 October 2003 @ 19:25:
Je restored inclusief de security, dus na de restore kun je er met je admin account nog steeds niet bij

En dan pak je owner (op je test bak) en niemand die het ooit weet.. Het komt toch altijd neer op vertrouwen imho.

[ANdrode]

je draait linux, met rsbac kan je een bepaalde dir zelfs voor root niet-toegangkelijk maken.
Ideaal als er meedere mensen echt een prive dir moeten hebben, of als je root = totale toegang tot bestanden wilt voorkomen.

Oefen er wel even mee, je kan jezelf er namelijk ook mee van je productieserver afsluiten .
(En, zelfs met een kernelparameter zal het neit uit gaan als je het daarop instelt...)

[sirdupre]

Als ik dit verhaal zo lees en zie hoe paranoia ze zijn vermoed ik dat er geen zuivere dingetjes gebeuren in dit bedrijf.
Zij hebben jou gevraagd beheerder te zijn, als je baas denkt dat ie het beter kan, ben jij overbodig....
Uiteindelijk kan je toch ook gewoon die harde schijf mee naar huis jatten mocht je die gevoelige informatie graag willen lezen.... Waarom vertrouwen ze er wel op dat je dat niet doet, en vertrouwen ze niet dat je rond gaat zitten neuzen in gevoelige informatie...

[Qwerty-273]

Brahiewahiewa schreef op 10 October 2003 @ 19:25:Die account is er niet (als het goed is). Er is alleen een account die kan bepalen wie bij welke data kan. Het password van deze Überscheißmeister account ligt meestal bij iemand van HR; in ieder geval niet bij een techneut

Dat is dan meestal toch het system account. En die kan je als je dat wilt altijd nog vie lekjes/overflows in verschillende software modules aanspreken en dan toch rechten krijgen. Want een pass op word docs is te kraken dus dit ook.

Daarnaast kan je altijd een bruteforce doen op de ene "Überscheißmeister" account zodat je toch alle rechten hebt. Het lijkt mij namelijk strek dat als je slechts 1 "Überscheißmeister" account hebt hier een login trial van 3 zet waarna dit wordt gedisabled. Dan kan er dus niemand op die server/omgeving.

Voor TS. Het gaat om het vertrouwen. Biedt anders een geheimhoudingscontract of weet ik veel hoe je het wilt noemen. Inderdaad in een kleine omgeving zieje vaak dat een admin veel kan, maar de gebruiker verwacht ook dat je als admin hun altijd van dienst kan zijn. Bij een middel organisatie (en groot ook maar dat is immens groot meestal) is het veel bureaucratiser waardoor men ook niet meer verwacht dat jij alles in een zucht geregeld kan hebben.

Op 1 werkplek kreeg ik als helpdesk functie (meeste 1ste lijns en aantal zaken 2de tot 3de lijns) na 4 weken toch het administrator wachtwoord / apart admin account op een aantal user servers vanwege het goede werk en vertrouwen wederzijds. Dat je het daarna ontiegelijk hebt kunnen verneuken is een risico wat je natuurlijk altijd loopt. Maar als het vertrouwen zo goed is dan doe je dat gewoon niet. (Je doet het zo ie zo niet maar ok )

[Verwijderd]

besmart schreef op 10 October 2003 @ 00:05:
Heb sinds vorige week wat problemen met mijn baas in een klein bedrijfje.
In het bedrijf heb ik een fileserver op linux OS geinstalleerd en geconfigureerd.

Nou blijkt dat degene over de geldzaken en overige personeelsbelangen moeilijk gaat doen, omdat ik bij zijn bestanden zou kunnen komen en ze indien mogelijk zou gaan lezen.

Hierdoor heeft me baas het wachtwoord van die machine gewijzigd waardoor ik er niet meer in kan als het moet.

Nu is me vraag onder andere hoe andere beheerders hiermee omgaan met deze problematiek. Je werkt in het bedrijf en doet direct het beheer van de fileserver.

Dan vertel je tegen jouw baas / manager dat je overal bij moet kunnen. Maar is het wachtwoord van de ROOT veranderd? Maar als je op die server zelf gaat kijken op de partities kan je ook alles zien...

Bij mij op het bedrijf is het niet zo, daar moet iedereen respect hebben voor de systeembeheerders.(japans bedrijf)

[Verwijderd]

Die baas van jou heeft gewoon een slecht vertrouwen in mensen.... zoals de waard is behandeld hij zijn gasten.
ik heb een keer een programma op een linux server gehad ie een map er uit liet zien als een exutabele dus elke keer als je er naar toe ging kreeg je een inlog scherm. zaten wel een paar extra modules voor in de kernel. werkte goed en zag er ooki leuk uit.

[dingstje]

Nulnulnix schreef op 10 October 2003 @ 09:02:
Hier heb je nog een leuk argument voor je baas: hoe moet het verder als er iets met hem gebeurd (ongeval, ziekte, overlijden)? Die info is dan niet meer te bereiken!

Wat gebeurt er als de systeembeheerder wegvalt (ongeval, ziekte, overlijden) en alle gegevens zijn beveiligd... net 't zelfde...

[Yalopa]

Ik werk zelf ook in een kleine omgeving in ik heb ook sinds dag 1 toegang tot elke bit die voorbijkomt. Gebruikers weten dat ook. Bij ons zijn er 4 dergelijke accounts, dus het wegvallen van 1 van die mensen is geen drama.

Dat overal aankunnen komt mij geregeld van pas om mijn taak uit te voeren. Ik heb echter niet de tijd noch de interesse om die 10tallen gigs aan xls/doc of databasegegevens de doornemen. Meer zelfs, als ik ergens moet zijn om iemand te helpen en ik weet/zie dat er gevoellige data rondslingerd ben ik de eerste om te zeggen, dek dat ff af wil je, ik wil het niet zien (fin dept, personeelsdienst, managers).

Ik denk dat je met een vertrouwensprobleem zit, je kan dan wel lapmiddeltjes zoekken, maar op een gegeven moment, moet je toch echt kunnen zeggen kijk nu heb ik die toegang nodig, anders kan ik niet voor jou bestanden zorgen??

Een fileserver beheren lijkt een beetje op de job van een concierge. Je doet je best om alles in goeie staat te houden en daarvoor heb je de sleutels van elke deur. Een concierge gebruikt zijn sleutels ook maar als hij ze nodig heeft voor zn job.

[besmart]

Ze zien tot nog toe niet wat voor een probleem het voor mij is.
Ik berust het op dit moment echt als een vertrouwensverband.

Het is nog lastiger. Officieel zijn ze beide baas van mij. Tis een familiebedrijf.
Pa doet de financiën en zoon doet het eigenlijke runnen van het bedrijf.
Een nog groter probleem is dat ik redelijk bevriend ben met die zoon.

Kwam hem toenet tegen en wou in zijn en mijn privé tijd het er eindelijk over hebben. Gisteren had hij er geen tijd voor en ook geen tijd voor willen vrijmaken in baas zijn tijd. Het is op dit moment een principe kwestie. En wou er niet over beginnen.
Ben een hele tijd best wel soepel in dingen geweest in het bedrijf. Maar mijn emmertje is een beetje overgelopen door dit laatste punt. Nog zoveel tijd in het bedrijf gestoken (eigen vrije tijd ook) en dan nog dit doen. Al helemaal doordat ik er zomaar opeens niet meer in kon. Had ervoor even gezegt hoe en wat. Nee, zomaar opeens het wachtwoord wijzigen.

Hij had het toenet nog over, dat ik onder andere niet zou mogen zien hoeveel hij verdient. Interesseert me helemaal niet. Maar door dit soort argumenten wordt ik steeds nieuwsgieriger en wil ik eigenlijk wel heel graag weten wat er zo geheimzinnig is aan die documentatie.

[Maarten @klet.st]

Nulnulnix schreef op 10 oktober 2003 @ 09:02:
Hmmm, ik heb zelf o.m. bij de politie gewerkt als beheerder en kon gewoon bij alle documenten. Reken maar dat juist daar gevoelige informatie bij staat.
Maar eerlijk gezegd interesseerd mij die info niet eens...

Same here. De mensen die jou vragen om systeembeheer te doen moeten zich een aantal dingen realiseren:

- Jij hebt dermate veel bevoegdheid (nodig) om overal bij te kunnen
- Als jij niet te vertrouwen bent hebben ze een groot probleem

Zo gaat dat nou eenmaal met systeembeheerders. Er zijn onvoldoende technische middelen om een (kundige) systeembeheerder deeltoegang te geven. Het begint al met het feit dat je fysieke toegang tot het systeem hebt. Persoonlijk ben ik nog niet een (1) systeem tegengekomen waarop ik niet 'root' rechten kon verkrijgen als ik fysieke toegang had. Laat staan dat er niet nog 100 manieren zijn bij de meeste systemen om root/administratorrechten te verkrijgen.

Een beetje baas/werkgever snapt dat diegene die gevraagd wordt het systeembeheer te doen op dat gebied meer verstand van zaken heeft dan hij/zijzelf. Als ze dat niet doen zijn ze ronduit naief.
En dat 'slimmer' zijn van die systeembeheerder (op systeembeheer gebied tenminste) impliceert dat deze systeembeheerder goed- of kwaadschiks informatie kan bemachtigen.

Kunnen ze dat niet accepteren dan moeten ze iemand zoeken die ze meer vertrouwen, of het zelf doen. Niet doen is geen optie tegenwoordig, computers
en netwerken hebben tegenwoordig alleen maar meer dan minder onderhoud nodig.

Dat een systeembeheerder met een bepaalde beroepsethiek heeft te maken (niet op zoek gaan naar gevoelige info e.d.) staat buiten kijf. Snap je die beroepsethiek niet, dan kun je beter op zoek gaan naar een andere baan.

[zwahiel]

ik heb 't zelfde probleem...

Ik kan en mag bij alle servers bij ons kleine bedrijf, maar er is een machine waarop ik niet eens acces heb, verder niemand trouwens. Echter alleen de baas en de bedrijfsleider (handig in een bedrijf met 3 vaste + aantal stagaires). Ze wilden geen linux machine omdat ze anders als er iets met mij zou gebeuren geen toegang hadden en ze niets konden doen... maar ze doen zelf 't zelfde...

Ik moet wel eens met RDP in kunnen loggen om iets te testen bijvoorbeeld of poorten open staan van routers en om snel bij gegevens te kunnen van de klant waar ik op dat moment ben (bijvoorbeeld snel in het systeem kijken wat de laatste acties zijn) en dat wordt belooft maar later weer in getrokken omdat alleen maar op die machine kan...

Op deze machine loopt schijnbaar de administratie en wat andere meuk...

't wrange is dat bepaalde stagaires die onder mij staan wel toegang kunnen verschaffen omdat zij 't wachtwoord van de bedrijfsleider weten, confronterend daarmee wordt gezegt dat dit niet zo'n probleem is... Beheer van 't ding doen ze zelf (dwz de bedrijfleider, geen opleiding in IT gehad... en 't gek vinden dat sommige dingen niet werken... )

[ Voor 3% gewijzigd door zwahiel op 11-10-2003 19:46 ]

[Maarten @klet.st]

zwahiel schreef op 11 October 2003 @ 19:45:
ik heb 't zelfde probleem...

Ik kan en mag bij alle servers bij ons kleine bedrijf, maar er is een machine waarop ik niet eens acces heb, verder niemand trouwens. Echter alleen de baas en de bedrijfsleider (handig in een bedrijf met 3 vaste + aantal stagaires). Ze wilden geen linux machine omdat ze anders als er iets met mij zou gebeuren geen toegang hadden en ze niets konden doen... maar ze doen zelf 't zelfde...

[knip]

't wrange is dat bepaalde stagaires die onder mij staan wel toegang kunnen verschaffen omdat zij 't wachtwoord van de bedrijfsleider weten, confronterend daarmee wordt gezegt dat dit niet zo'n probleem is... Beheer van 't ding doen ze zelf (dwz de bedrijfleider, geen opleiding in IT gehad... en 't gek vinden dat sommige dingen niet werken... )

Zou ik me niet teveel zorgen over maken, die ene machine. Wijs ze er gewoon op dat het onzinnig is om stagiaires wel toegang te geven en jou niet. Doet die machine vervelend, niet jouw probleem. Dit is nou net zo'n situatie waarin ik me niet druk zou maken (zolang die machine geen gevaar voor de machines vormt die WEL door jou beheerd worden).

[SED]

Als je het vertrouwen echt kapot wilt krijgen moet je met achterdeurtjes komen.

Als ik als baas erachter zou komen dat ondanks mijn verbod tot toegang er een achterdeur was geschapen dan onsloeg ik je op staande voet. Dat is fraude, misbruik, en bedenk nog maar wat van dit soort termen.

Als systeembeheerder is het zonvol een beveiligingsplan op te stellen. Bij grote firmas is dat ook normaal. daarin staan protocollen waarin je beschrijft hoe je met gegevens omgaat. Wie er wel en wie er geen toegang hebben.
Zo hebben stagiaires bij ons vrijwel alle toegang via delegation maar zijn specifieke mappen denied access.

Het feit dat je baas nu feitelijk het susteem beheert aangezien hij het hoogste niveau lijkt te hebben is zeer ongewenst. Wie zegt je dat hij niet onbewust als admin de zaak zit te verzieken.

Het lijkt me dus tijd voor een goed gesprek zonder dreiging van opstappen waarin je de volgende zaken vast laat leggen.

Wie is er verantwoordelijk voor het systeembeheer.. die heeft alle toegang.
deze maakt een backup policy
deze maakt een beveiligingsplan
deze schrijft protocollen
is verantwoordelijk voor de stabiliteit en bepaald dus wat er geinstalleerd wordt.

Als je delen hiervan niet aankunt dan huur je ( jouw baas) daarvoor een externe deskundige in.

Het wantrouwen waarmee je nu werkt is slecht voor de organisatie. Jij kunt bepaalde zaken niet en je baas met onvoldoende kennis kan dingen die hij niet mag doen.

Maak geen grapjes ( ook niet met smileys zoals hierboven nul doet) over vertrouwelijke informatie. Die is zo vertrouwelijk en dat ligt zo gevoelig dat je daar alleen over spreekt in zakelijke en regelende zin. Vertrouwelijkheid benadruk je en je toont aan dat aan te kunnen. ( en dat doe je niet met een smiley)

[alt-92]

SED schreef op 11 oktober 2003 @ 22:11:
Als je delen hiervan niet aankunt dan huur je ( jouw baas) daarvoor een externe deskundige in.

En wie zegt dat die volledig te vertrouwen is....?

[zwahiel]

Maarten.O schreef op 11 oktober 2003 @ 21:03:
[...]


Zou ik me niet teveel zorgen over maken, die ene machine. Wijs ze er gewoon op dat het onzinnig is om stagiaires wel toegang te geven en jou niet. Doet die machine vervelend, niet jouw probleem. Dit is nou net zo'n situatie waarin ik me niet druk zou maken (zolang die machine geen gevaar voor de machines vormt die WEL door jou beheerd worden).

maar wel als je toegang moet hebben omdat dat de enige RDP bak is die we hebben... En je die toegang ook daadwerkelijk beloofd wordt, maar in plaats van aan jouw aan een stagaire gegeven wordt... da's wrang...

[SED]

Maarten

Dat een systeembeheerder met een bepaalde beroepsethiek heeft te maken (niet op zoek gaan naar gevoelige info e.d.) staat buiten kijf. Snap je die beroepsethiek niet, dan kun je beter op zoek gaan naar een andere baan.

Ik denk dat je hier de kern raakt. Iemand die zonder reden door de persoonlijke data van de server gaat spitten komt vroeg of laat iets tegen wat hem in verleiding brengt. Bl;ijf dus gewoon weg uit die data en kom er alleen als er specifieke zaken gedaan moeten worden.
Vertrouwen krijg je door vertrouwelijk met data om te gaan en dat wil ook zeggen dat je over bepaalde zaken niets eens praat.

Als dat vertrouwen er niet is dan lijkt me dat een mooi onderwerp voor het eerstvolgende functioneringsgesprek.

[MrBaggins]

Ik werk bij een bedrijf waar erg veel gevoelige informatie rondgaat. En zoals hierboven aangegeven kan ik, als ik wil, overal bij. Wij hebben echter een geheimhoudings verklaring moeten tekenen. En daar houd ik me strikt aan. Mijn werkgever vertrouwt daar dus gewoon op. In geval van TS zou ik willen aanraden gewoon rustig te blijven en ze te doordringen van het belang van goed beheer. Dit kun je gewoon niet uitvoeren op deze manier.
Helaas gaat dit in kleine bedrijven vaker moeilijk. Een van de redenen dat ik gekozen heb destijds om voor een groot bedrijf te gaan werken. Je zou kunnen proberen om de vertrouwens basis contractueel vast te leggen. Misschien dat je werkgever meer houvast geeft.
Zomaar op stappen zou ik niet zomaar doen, tenzij je andere vaste inkomsten hebt. Het is niet makkelijk zomaar ff weer aan het werk te komen momenteel.
In ieder geval veel sterkte er mee

[DiGuru]

Disclaimer: Mijn mening is alleen dat, en wordt niet ondersteund door jullie.

Disclaimer: Ik heb alleen de eerste post gelezen.

Disclaimer: het volgende is mijn ervaring en kan afwijken van alle andere dingen.

Ik maak normaal alle mail, user-dirs etc. delete-only voor het beheer. Gaat er iemand weg of is er een ander probleem, dan kun je altijd alles weggooien en opnieuw maken.

Daar stap ik regelmatig van af, als de gebruikers grote sukkels of techneuten zijn. Dan mag ik alles en alle andere mensen een stuk minder. En dat vertel ik ze ook. Bij klachten haal ik mijn eigen rechten weg en vallen ze maar kapot als ze de zaak om zeep helpen.

Bij oplevering van software, gelden dezelfde regels: moet het secure zijn of doet er iemand beheer?

Helaas heb ik het vaak meegemaakt, dat de beheerders er op geilen te weten wat de directeur aan salaris heeft. Of whatever. Delete-only of oprotten.

Ben je een professional of een voyeur?

Disclaimer: Ik ga nu de rest lezen. Your mileage may vary.

[Verwijderd]

Ik denk dat je het pro-actief moet aanpakken. Schrijf een beheersplan voor het servertje met wie waar bij mag. Zo zou je een soort super admin kunnen maken (je baas) en een algemeen beheer admin. Leg eerlijk en open uit wat wie kan. Maak een aparte back-up admin aan.
Je kunt ook de zogenaamde super belangrijke files op een andere machine opslaan. Het gaat er natuurlijk niet om of je alle vertrouwen krijgt (dat krijg je duidelijk niet, waarom eigenlijk niet, zou je een reden kunnen verzinnen die bij jezelf ligt), maar het gaat om het veilig en goed kunnen beheren van een server. Het is jammer voor je, maar de randvoorwaarden die daarbij horen, stel jij niet maar je baas. Je kunt hem wel uitleggen wat de gevolgen zijn van de randvoorwaarden.

[Grolsch]

dit is (zoals zo vaak gezegt) een vertrouwens kwestie.

Jij kunt onmogelijk iets beheren zonder dat je alle rechten hebt.
Nu kun je je baas wel full control geven op een map
en hij zegt bijv. deny de administrator.
Dan kun je als administrator altijd weer "take ownership" doen.

Het is en blijft een vertrouwens kwestie.

[Verwijderd]

Vertrouwen is altijd lastig. Je kunt alles bekijken maar je doet het niet. Maar als je ontevreden bent over je loon dan is het makkelijker onderhandelen als je de jaarcijfers even hebt bekeken....

[3dfx]

Verwijderd schreef op 15 October 2003 @ 10:24:
Vertrouwen is altijd lastig. Je kunt alles bekijken maar je doet het niet. Maar als je ontevreden bent over je loon dan is het makkelijker onderhandelen als je de jaarcijfers even hebt bekeken....

"volgens de jaarcijfers die ik stiekem heb bekeken, zou ik 15% meer loon willen"
En 20 mins later sta je bij het CWI...

Zoals ik het verhaal van de TS lees, zou ik daar niet meer willen werken: er is nu eigenlijk niets aan de hand, je hebt niks 'gestolen'/doorgegeven aan data, en je wordt al van alles beschuldigd.
Stel dat er nu wel iets gebeurd, dan wijzen alle vingers snel naar jou, ook al heb je niets gedaan (die zoonlief kan immers als root inloggen, en bijv. wat 'bewijsmateriaal' toevoegen om jou in kwaad daglicht te zetten om zichzelf in te dekken)

En alle suggesties van 'dan maak je speciale dirs aan/zip de files met pass' zijn prima in een normale situatie, maar hoe wil je jouw baas overtuigen dat jij vervolgens echt niet die vertrouwlijke files/data kunt bekijken?
Hij is pc-leek voor zover ik begrijp, dus moet maar geloven wat jij hem vertelt...of z'n zoon...

[Verwijderd]

Het is de vraag wat de taak van de server is binnen het bedrijf. Dit bepaalt al voor een groot deel het zwaartepunt van security. Immers als de server ook fungeert als internet-accespoint dan liggen nu ook de gevoelige bestanden bij de voordeur. Uit dat oogpunt is het verstandig om samen met de boekhouder een nieuw securityplan op te zetten.

Je insteek zou kunnen zijn dat je zelf op geen enkele wijze in contact wil komen met de informatie. Dit is vrij normaal, het geeft je een hogere verantwoordelijkheid die je niet wilt dragen. (Je wilt toch ook niet het kasgeld naar de bank brengen?) Een oplossing zou zijn om zijn PC te voorzien van encryptie software, geen shares op zijn PC en de PC (excl monitor) in te bouwen in een brandveilige kluis.

De gevoeligheid van de informatie kan ook jouw baan in gevaar brengen als het in de verkeerde handen valt. Inkoopprijzen, klantgegevens etc kunnen de continuiteit van het bedrijf in gevaar brengen als ze in de verkeerde handen vallen.

[Adm.Spock]

Gebrek aan vertrouwen binnen een bedrijf luidt de ondergang in.

Ik heb bij bedrijven gewerkt waar ik van bepaalde personen niet binnen 2 meter van hun bureau mocht komen. Maar vervolgens laten ze je wel alleen achter in het pand.......


Als je geen volledig en onvoorwaardelijk vertrouwen krijgt, zeker in een functie als systeembeheerder, kun je onmogelijk je werk naar behoren uitvoeren.


Zelf heb ik twee weken geleden gewoon m'n baan opgezegd. Puur wegens het totale gebrek aan vertrouwen.

Ik werd naar klanten toe gestuurd, terwijl ze met opzet informatie achterhielden. De klanten waren hier met regelmaat de dupe van, omdat ik bepaalde taken gewoon niet uit kon voeren. Soms ging het zelfs om dusdanig simpele zaken dat het gewoon belachelijk is. Maar ik kreeg dan vervolgens ook nog eens de zwarte piet toegespeeld.

Met andere woorden lekkere jongens dus......

[zwahiel]

Adm.Spock schreef op 17 oktober 2003 @ 02:19:
Gebrek aan vertrouwen binnen een bedrijf luidt de ondergang in.

Ik heb bij bedrijven gewerkt waar ik van bepaalde personen niet binnen 2 meter van hun bureau mocht komen. Maar vervolgens laten ze je wel alleen achter in het pand.......


Als je geen volledig en onvoorwaardelijk vertrouwen krijgt, zeker in een functie als systeembeheerder, kun je onmogelijk je werk naar behoren uitvoeren.


Zelf heb ik twee weken geleden gewoon m'n baan opgezegd. Puur wegens het totale gebrek aan vertrouwen.

Ik werd naar klanten toe gestuurd, terwijl ze met opzet informatie achterhielden. De klanten waren hier met regelmaat de dupe van, omdat ik bepaalde taken gewoon niet uit kon voeren. Soms ging het zelfs om dusdanig simpele zaken dat het gewoon belachelijk is. Maar ik kreeg dan vervolgens ook nog eens de zwarte piet toegespeeld.

Met andere woorden lekkere jongens dus......

Goh heb ik hier ook last van...
Maar wat moet je eraan doen! Ik ben de beheerder maar buiten klanten beheer ik niets, structuur is er totaal niet en stagaires maken de dienst uit...

Ja we gaan wekelijks vergaderen, ja je hebt gelijk, ja we gaan wat aan die stagaires zonder eigen inititatief doen, nee je hebt gelijk die stagaires menen dat ze alles zijn en alles mogen, ja we gaan je ondersteunen in je werkzaamheden, ja we vinden ook dat stagaires die niets doen niet goed zijn voor de klanten, nee we rekenen geen vol uur tarief voor stagaires, ja we zullen doorgeven dat niemand aan je pc gaat zitten als je even weg bent, ja je krijgt toegang tot alle servers zodat je ze kan beheren, ja je krijgt nog cursussen, nee nu mag je niet mee naar de beurs de volgende keer mag jij (iedereen wel mee, keer daarop ik weer niet wel weer alle stagaires), ja we kopen een ander CRM pakket zodat je alle gegevens van de klanten in een keer ziet, ja we gaan erop nazien dat iedereen ook alle handelingen invoert en dat systeem en in het huidige(!), ja ook particuliere klanten gaan we in 't vervolg invoeren als we daar iets bezorgen, ja we noteren alle gegevens, ja we gaan in 't vervolg met de lunch dicht en nemen geen telefoon meer aan dan (zoooo irritant!), nee je hebt volkomen gelijk, nee als je naar Maastricht moet kun je niet een uur daarna in Nijmegen zijn ja, dat is zo, ja je krijgt een laptop omdat je die nodig hebt om routers te programmeren en netwerken en andere dingen te testen, nee ik bepaal wanneer je deze krijgt nu heb ik 'm even in 't gebruik prive...

Een greep uit de afspraken hier op mijn werk, en denk je dat ze zich eraan houden?
Nog tot de dag van vandaag geen gezamelijke vergaderingen gehad hoor! Ja met de baas en bedrijfsleider... (handig bedrijfsleider met 2 personeelsleden!)

Callbesprekingen? Kennen ze niet...
Weekelijks werkoverleg? Kennen ze niet...
Structuur? Kennen ze niet...

Wel afspraken maken, steeds meer klanten aantrekken met meer stagaires van MBO die schrikken als in een zin het woord netwerk in voorkomt... ach ach ach...