Наши преимущества

Произвол администатора

сделай виртуальный диск true crypt, и пароль нормальный посставь.
поставь prio и увидешь кто(что) куда лезет по сети.
удалить админские шары.
 
Последнее редактирование модератором:
Я говорю потомучто себе взламывали пароль из 13 символов за 4,5часов
на серввере предприятия

Явно кроется какое о НО здесь. К примеру знали что в пароле только цифры или только определнны цифри. Потому как насколько мне известно РАР позволяет пробовать 1 пароль в секунду. Вот и считайте количество комбинаций. =)
 
Господа, если такие страхи, попробуйте eToken от Aladdin!
Генерите key-pair в PGP. Указываете в PGP, что секретный ключ будет храниться на токене. Все. Секретный ключ удаляется из кейринга PGP и будет храниться на токене. Его оттуда уже не достать. НИКАК.
Даже если кейлоггером узнают PIN токена, все равно нужен будет физическй доступ к токену. Но это уже другая история. Это называется двухфакторная аутенфикация:)
Токен можно прицепить на связку с ключами и сувать в ЮСБ по надобности (ключи от квартиры-машины надеюсь никто на раб. месте никогда не забывал?:).
Создаете PGP диск, шифруете его этим ключом. На NTFS можно смотировать полученный диск в какую нибудь невзрачную папку.
Диск подключаем-отключаем по мере надобности. Как говорится "защита временем". Наврятли получится "пропалить" монент когда подключается диск и на него сохраняются данные.
 
боюсь быть не модным, но вопрос - и что даст вам фаевол? если радмин переименовать в например сервисес.экзе и назначить 12xx порт? откроет как миленький.
и что даст вам фаевол, если при загрузке засунуть юэсби флешку с (например) эрд2003 и получить доступ к папкам юзера
и что даст вам фаевол если прикрутить снифер и слушать порты по тисипи (или чем и куда он там ходит на сервер)
и что дас вам фаевол, если делать снимки резидентной прогой (валом таких) с экрана через пару секунд и отсылать кому надо.
...продолжить дальше? :)


Tritex
если хотите получать качественные квалифицированные советы, то максимально точно описывайте ситуацию: какая ось на вашем компе, какая сеть у вас в офисе, куда за инетом ходить, где сервера, сколько и какие (желательно).
дальше - если ось то какая файловая система. кто имеет право настраивать сервисы и авторан.
в какой роли выступает админ (админ админу рознь есть системный, есть сетевой, есть система подчинений если это распределенная сеть с структурой доменной организацией и т.д)
есть еще пару вопросов, но они подчиненные ответам которые ты должен дать.

общие советы: ось (если NT, то на нтфс. вход по паролю не меньше 8 символов 3 знаковых групп (хэш еще никто не ломал). папки закриптовать
. пароль не забывать, а то всей инфе кирдык и никто тебе не поможет.
дальше - расшары все убрать. посмотреть в таск - чтобы не было лишних сервисов. лишнее все убить.
на всякий случай ось если NT пропатчить (хотя 2к уже не поддерживают...) это чтобы шибко умные не заломали эксплоитом.
уходя в уборную лочить комп. :)
этого в принципе почти достаточно.
остальные подробности в зависимости от твоей ситуации (см.выше)
 
Пытаться защититься от админа, имеющего полный контроль над системой бессмыслено. Единственный выход -- доказать факт воровства или поймать на горячем и гнать в шею такого админа.
 
Забавные советы все время слышу... утстановить, утстановить... во первых редко кому их юзеов дают право устанавливать))) во вторых елси бы я увидел какой-нибудь PGP диск... я бы его кильнул(если конечно без предупреждения установили) и пофиг, поскольку там может быть все что угодно, а я отвечаю за сеть и софт.
А сколько не защищайся все равно можно снять инфу если этот комп в твоей сети и ты админ(особенно если это сеть с AD, а ты админ домена....)
 
А где и в каком виде программа хранит свои временные файлы? Нверняка не на каким либо способом защищенном диске.
 
to reZon:
Поглядел бы я на того админа, который кильнул PGP диск с информацией по проекту на компе менеджера этого проекта :)
В настоящее время реальность такова, что админ, особенно в фирме по разработке ПО, больше не является богом и царем.
 
Сделай схему типа "улучшенную", вставив в критической точке малозаметную, но серьезную ошибку - и поприкалывайся над тем, кто её передерет.
А если серьезно - можешь Kerio установить, хотя я бы держал все критичное на флешке
 
Сделай схему типа "улучшенную", вставив в критической точке малозаметную, но серьезную ошибку - и поприкалывайся над тем, кто её передерет.
А если серьезно - можешь Kerio установить, хотя я бы держал все критичное на флешке

А на флэшке ли? Они достаточно спонтанно накрываются... Вот может быть носимый мини хард драйв - как считаете? 1-дюймовочку ессно с ЮСБ 2.0.
 
А на флэшке ли? Они достаточно спонтанно накрываются... Вот может быть носимый мини хард драйв - как считаете? 1-дюймовочку ессно с ЮСБ 2.0.

Использую сам винтик от ноута с переходником на усб 2.0, отличная штука, шустрый, один раз только удалось его угробить - подключил к компу где в усб было питание перепутано (ногами кто-то собирал комп), а так последним активно пользуюсь в течении года и никаких нареканий нету .., ну и еще один минус - много берет питания .. :(
 
резюмирую:
1. уволить админа ( если его вину можно доказать)
2.отключиться от компьютерной сети, если п.1 не выполнен - секретные
и важные вещи 9 составлющие коммерческую тайну) лучше выполнять на изолированных компах (!!!) или сетях с высоким уровня доверия, отключенных от глобальных публичных сетей.
3. завести внешнее устройство ( USB flash, USB2HDD и т.п.)
4. поставить софт для шифрования (например, PGP 8.0.3) и создать им контейнер,который мапиться как диск с правами только для себя
Выбрать длинный, сложный ключ-пароль.
5. делать регулярно бекап контейнера.
6. отслеживать входящие соединения/атаки по портам ( firewall outpost вполне подойдет).
 
У нас тоже был такое случае, я сам админ, мне раза 2 сказали что кто то стер данных.
Лично я делал так(единственное требование это должно быть поднят AD):
Есть файл сервер для хранение инфу.
Создал GPO и в GPO настроил перенаправление My Doc к расшаренному папку который находится в сервере.
После аутен. юзера на сервере появиться папка My Documents а путь становиться такой: <server_name\SharedFolder\user_name\My Documents>
Что хорошо, даже админ хоть он Domain admin или Enterprise Admin не может открыть это гарантирована (если конечно папка не было создана заранее).
А если меня попросит начальство что бы я открыл My Doc юзера, то я сбрасываю пароль юзера и войду от имени юзера и все...

Если так сильно хочешь что то делать то найди пароль админа...
 
Верх