Devo usar um banner de login e, em caso afirmativo, o que ele deve dizer?

Question

Os banners de login interativos valem a pena?
O consenso geral é que eles são, mas o que a faixa deve dizer?

Algumas coisas que estão sendo consideradas (nenhuma ordem específica):

• propriedade do equipamento
• sem expectativa de privacidade
• O monitoramento pode ser feito
• uso autorizado somente
• não use palavras como "Bem-vindo"
• no idioma local, se possível
• comprimento do banner: curto e conciso, longo e prolixo
• não identifique o uso do equipamento
• vago ou específico

Answer 1

De Processamento de Crimes por Computador , uma publicação do Departamento de Justiça dos Estados Unidos:

Best Practices for Victim Response and Reporting

A. Steps Before Confronting an Intrusion

Consider Using Banners - Real-time monitoring of attacks is usually lawful, if prior notice of this monitoring is given to all users. For this reason, organizations should consider deploying written warnings, or "banners," on the ports through which an intruder is likely to access the organization's system and on which the organization may attempt to monitor an intruder's communications and traffic. If a banner is already in place, it should be reviewed periodically to ensure that it is appropriate for the type of potential monitoring that could be used in response to a cyberattack. More information on this topic can be found on CCIPS' website at http://www.cybercrime.gov.

Além disso, aqui estão alguns exemplos de linguagem de BANNER DE REDE, conforme recomendado pelo USDOJ, e explicações sobre suas funções, em Pesquisando e apreendendo computadores e obtendo evidências eletrônicas em investigações criminais , também pelo Departamento de Justiça dos EUA:

APPENDIX A: Sample Network Banner Language

Network banners are electronic messages that provide Notice of legal rights to users of computer networks. From a legal standpoint, banners have four primary functions. First, banners may be used to generate consent to real-time monitoring under Title III. Second, banners may be used to generate consent to the retrieval of stored files and records pursuant to ECPA. Third, in the case of government networks, banners may eliminate any Fourth Amendment "reasonable expectation of privacy" that government employees or other users might otherwise retain in their use of the government's network under O'Connor v. Ortega, 480 U.S. 709 (1987). Fourth, in the case of a non-government network, banners may establish a system administrator's "common authority" to consent to a law enforcement search pursuant to United States v. Matlock, 415 U.S. 164 (1974).

Esta é definitivamente uma questão legal que não deve ser tão facilmente esquecida. Mais do que provável, você DEVE consultar seu departamento jurídico (se tiver um), ou os tomadores de decisão correspondentes. Além disso, o que quer que seja implementado nos banners, o que é dito interno e externo provavelmente não deve ser redundante com as Políticas de Uso de Rede já acordadas (provavelmente não quer alertar constantemente as pessoas sobre algo que já acordaram)

    

Answer 2

Fale com seu pessoal legal, não cabe aos técnicos decidir o que vai acontecer, isso é uma questão política, não técnica. Dependendo do país em que você estiver, haverá recomendações do governo relacionadas às leis locais de uso indevido de computadores.

    

Answer 3

Depende realmente de quem está fazendo login e por quê. Se você estiver executando um servidor para fornecer contas de shell, provavelmente precisará de um banner de login interativo bastante strong para lembrar as pessoas de não executar spambots. Por outro lado, se seus servidores forem acessados apenas por membros da sua equipe de Operações, dos quais existem apenas 8, provavelmente você não precisará de um banner. Realmente isso se resume a uma questão de política, porque o banner não fará uma diferença perceptível no comportamento e não tem efeito em muitos locais legais.

    

Answer 4

Aqui está o que usamos:

-----------------------------------------------------------------
Warning: This system is restricted to ABC Company
authorized users for business purposes only. Unauthorized access
or use is a violation of company policy and the law. This system
may be monitored for administrative and security reasons. By
proceeding, you acknowledge that (1) you have read and understand
this notice and (2) you consent to the system monitoring.
-----------------------------------------------------------------

    

Answer 5

Apenas algo como "o uso deste recurso está sujeito aos termos do nosso AUP" deve ser tudo o que você precisa; não há necessidade de escrever um ensaio sobre isso. O pessoal legal e de RH pode colocar suas coisas na AUP.

Você precisará garantir que todos tenham uma cópia impressa do AUP antes de efetuar login. IANAL, mas eu sentiria o cheiro de um rato se você pedisse aos usuários que concordassem com algo que eles nem tinham lido ainda.

    

Answer 6

Meus banners de login são simples. "Tudo está logado, então não estrague a merda", mas sou praticamente a única tecnologia que o ssh está usando em nossos servidores.

    

Answer 7

Na minha opinião, é outro item do CYA que você parece não ser capaz de obter o suficiente desses dias ... Não faça um banner de pré-login que inclua qualquer tipo de declaração "Bem-vindo ao ...".