Como você verifica se os servidores / computadores não estão infectados?

Question

pergunta simples. Os desenvolvedores de PCs precisam ter acesso livre à rede, incluindo servidores, etc., e precisam ter acesso administrativo para realizar o trabalho com eficiência.

No entanto, os desenvolvedores também usam muitas ferramentas que não são da Microsoft, disponíveis como GPL, LGPL, MIT, free-for-all, etc.

Qualquer um deles pode conter código prejudicial. Até mesmo bibliotecas LGPL podem ser usadas para, digamos, analisar XML.

E todos nós sabemos que no momento em que alguém clica em "sim" no prompt do UAC, ou "sudo", o PC / Server pode ficar comprometido. E os servidores comprometidos podem fazer muitas coisas ruins, incluindo vazamento de informações, perda de dados, etc.

Como os administradores de sistema combatem esses problemas? Você confia em software antivírus, outras ferramentas?

    

Answer 1

Esta é uma batalha constante que você nunca vai ganhar, mas você deve continuar lutando. Algumas coisas que qualquer loja da Microsoft deve fazer:

• Ter um software antivírus corporativo que seja imposto por meio de GPO e outros meios e não possa ser desabilitado ou contornado. No minuto em que você permite que os usuários o desliguem, você não está protegido.
• Sempre filtre o tráfego de entrada e saída. Muitos aplicativos mal-intencionados tentam "telefonar para casa".
• Use um proxy para o tráfego da web. Mesmo que você não instale o software de filtragem da Web, é útil ver que tipo de padrões de tráfego estão surgindo (muitas solicitações para uma página asiapac desconhecida usando o método POST podem indicar software mal-intencionado, por exemplo).
• Por fim, e talvez o mais importante, eduque seus usuários . Os desenvolvedores realmente bons nem sempre prestam atenção às preocupações de segurança enquanto realizam suas tarefas. É útil lembrar às pessoas que o UAC não é apenas um teste para ver o quão rápido você pode clicar em "Sim", e que o sudo não é apenas uma maneira educada de iniciar todos os seus comandos.

Boa sorte ..:)

    

Answer 2

Espero sinceramente que esses desenvolvedores tenham apenas administradores locais e tenham apenas contas de usuário regulares no Active Directory.

Os desenvolvedores podem precisar de acesso aos servidores, etc, mas se você não estiver fazendo isso, você pode usar uma VLAN separada para o ambiente de desenvolvimento; sem acesso a servidores de produção, apenas para dev / qa / staging. Faça com que os desenvolvedores usem outra estação de trabalho para acessar servidores regulares de produção.

Como alternativa e com menos segurança, você pode tentar separar as coisas no nível lógico (por exemplo, diferentes florestas do Active Directory, talvez domínio).

Se os desenvolvedores tiverem acesso a sistemas de produção, aumentem o registro e o monitoramento de sistemas de produção e façam alguma instrução ao usuário: "Por que você fez logon no banco de dados de produção e copiou a tabela com todos os hashes de senha?" tipo de coisa.

Nota: isso obviamente depende do tamanho & complexidade da sua organização.

Apenas uma observação: você parece suspeitar que as ferramentas de código aberto são perigosas. Eles podem ser, mas o problema real não é controlar o armazenamento e o uso de código executável em dev pcs. Pode ser fechado também;)