远程Linux管理员顾问-最佳做法

我们正在聘请印度的一名顾问作为Linux管理员。我们不太了解他，他需要Root访问我们所有的服务器才能完成他的工作（包括安全审核）。

使远程顾问从事此类工作以使我们免受任何恶性活动侵害的最佳实践是什么？

提前致谢。

不要。此外，你在为多危险，不称职的恶意从我所看到的典型方式公司处理这个问题。

我想说的是，印度可能有很棒的系统管理员，但是许多公司做事的方式很糟糕。

如果您要去一家汽车修理厂，也很可能会发现他们受了很大的好处，其中许多人不太可能正确地审查过他们的员工。我已经与三个人进行了交谈，其中一个我曾为之工作，但没有一个人进行过任何技术面试。

因此，如果您必须远程雇用某人，为了上帝的缘故，请亲自面谈他，并确保他知道他的工作。系统管理太重要了，不能盲目地交给别人

现在，我已经处理了其中的“无知”部分，

管理是一个相当宽泛的词。具有root访问权限的人可以执行任何操作。现在，就我个人而言，我认为为管理员创建一个帐户，并赋予他通过sudo提升自己的能力是一个更好的主意（如果您有许多服务器，则配置管理系统应处理）。就是说，即使这还取决于一定程度的信任。关于不满的系统管理员可以造成的巨大破坏，这里有很多故事。更改所有密码？当然，您可以最终获得成功，但它并非微不足道，而且可能比您节省的费用还要多。

因此，请考虑当地人。如果不是，请考虑您曾审查过自己并直接雇用的人。

如前所述，不要这样做。

保护自己的唯一方法是执行以下操作：

1. 坚持让顾问使用您选择的配置管理系统。
2. 顾问将为您需要完成的操作编写配置管理清单。
3. 顾问将在测试系统上测试清单。
4. 准备就绪后，顾问会将配置提交到代码存储库。
5. 所有更改都将由您的员工或与第一位员工毫无关系且无法联系他们的另一位顾问审核。
6. 更改被注销后，您或您的职员将它们应用到服务器。原始顾问不应访问您的任何系统。

应当清楚的是，这是一个非常笨拙且效率低下的过程，但是如果您坚持要接受不受信任的个人的工作，则这是处理问题的一种方法。

但是，按照我的建议，最好聘请一个知名的，值得信赖的人。

使远程顾问从事此类工作以使我们免受任何恶性活动侵害的最佳实践是什么？

从法律的角度来看：事前要进行尽职调查，并对违反合同的行为严加处罚。

您从通常的良好雇用惯例开始，这些惯例在雇用内部人员（和/或服务提供商）时也适用，其中包括事实核实所提供的简历，索取教育成绩单和证书编号，检查并致电他们的推荐人，面试，甚至背景检查或安全检查等。

然后涂上胡萝卜：支付公允价值，提供有吸引力的工作，出色的同事，良好的工作条件和福利等。（如果您支付花生，您会得到猴子。）

和棒：违反您的工作/服务合同的条款，我们就会生病我们对你的律师，让你破产了！

不幸的是，当跨越边界和时区时，上述两种情况变得越来越困难。

一旦您决定雇用某人：

• 明确的指令和政策，人们应该意识到应该做什么和不应该做什么。
• 最小访问的原则适用，使人们很难（偶然或故意）做他们不应该做的事情。对于典型的系统管理员而言，这通常仍意味着完全访问权限，但是例如安全审核员不需要完全管理员访问权限，而是可以简单地请求现有管理员代表他运行脚本，该脚本收集其报告所需的详细信息。这样的脚本可以很容易地事先检查。
• 信任但要验证。只需让现有员工检查新入职人员的工作，然后一如既往地收集审核信息。
• 等等等

这个问题详细说明了我通常要求我的客户为我建立远程访问所要做的事情，这也可能是您的起点。

我想到的是一种保护您自己的系统方法，我从未提到过。

在虚拟化管理程序（VMware，Xenserver，Hyper-V等）上将Linux实例作为VM托管。

不要授予远程管理员对管理程序的管理访问权限。远程管理员只能获得对VM本身的root访问权限。

不要实施基于虚拟机监控程序的备份系统（Unitrends，Veeam，vSphere Data Protection等）

每天至少要为每个Linux VM保留一个快照，并根据需要进行备份。

不要授予远程管理员对备份存储库的写权限。

如果执行这些操作，您将拥有远程管理员无法控制的每个Linux实例的备份快照。如果远程管理员有意或无意地执行了一些棘手的操作，则始终可以从发生铰接之前安装一个备份，以评估发生的情况并可能恢复到干净状态。

这将无法抵御虚拟机管理程序侧信道攻击，该攻击有可能从攻击者具有根访问权限的VM内安装。

如果您的备份不能及时恢复，那将无法保护您。

您需要完全信任控制虚拟机管理程序和备份基础结构的任何人。

如果您在云（AWS，Azure等）中进行此操作，则实现细节会有所不同，但是总体概念是相同的。

本质上，除了仅雇用您信任的人之外，还应将责任划分给彼此之间不是业务合作伙伴的各方。

给他自己的用户帐户。然后准确地找出他需要访问的内容，并仅授予该访问权限，而无需授予其他任何权限。例如，如果他需要重新配置Apache Web服务器，请使用ACL授予他对Apache配置文件的写访问权，并配置sudo为允许他重新启动Apache服务，但不能以root用户身份执行任何其他命令。与往常一样，请保留您要授予他访问权限的所有内容（在本例中为Apache配置文件）的备份。