powered by simpleCommunicator - 2.0.61     © 2026 Programmizd 02
Целевая тема:
Создать новую тему:
Автор:
Закрыть
Цитировать
Форумы / Windows [игнор отключен] [закрыт для гостей] / Тотальное логирование в Windows 2003
18 сообщений из 43, страница 2 из 2
Тотальное логирование в Windows 2003
    #34681004
Sergey Orlov
Скрыть профиль Поместить в игнор-лист Сообщения автора в теме
Участник
MZH Sergey OrlovУже флейм пошел.
У меня дома валяется книжечка, купленная лет 10 назад, называется она кажется "Безопасность сетевых операционных систем", в ней как раз и рассматриваются подходы к данной проблеме, правда ос всего 3-и, *nix, Nw 4.xx, NT4.
Кстати, это не в этой ли книжке рассказывают, как отключить Windows аутентификацию для MS SQL Server? Факты в студию, пожалуйста.
А то в моих книжках про это ни слова, обидно...
На тот момент версия 6.5 была, боюсь у тебя ее нет, а что нельзя зайти в security SQL'а и поставить группе встроенных админов deny access, оставив только sa
...
Рейтинг: 0 / 0
Тотальное логирование в Windows 2003
    #34681038
MZH
Скрыть профиль Поместить в игнор-лист Сообщения автора в теме
Участник
Sergey OrlovНа тот момент версия 6.5 была, боюсь у тебя ее нет, а что нельзя зайти в security SQL'а и поставить группе встроенных админов deny access, оставив только sa
У меня тут такой архив дистрибутивов от MS, что найду, если припрет.
Формулировка была не о запрете доступа админам, а о запрете аутентификации Windows. Мне кажется, или это совсем разные вещи?
...
Рейтинг: 0 / 0
Тотальное логирование в Windows 2003
    #34681113
Sergey Orlov
Скрыть профиль Поместить в игнор-лист Сообщения автора в теме
Участник
В версии 6.5 так и было, совемещенная(windows) аутенфикация выдавалась как достижение, и когда ставился сервер предлагалось 3-и вида аутенфикации, только sql-я, только виндовая и смешанная, и насколько помню, все пользователи автоматом становились пользователя sql-сервера... Потом осознали, кака я дырка в безопасности и в 7.0 этого уже не стало. Очевидно борьба с Novell'ом давала знать - один раз аутенфицироваться в системе. У меня это осталось в памяти из-за того, что один сотрудник ведовший им забыл пароль sa, работать с базой можно было, а модифицировать процедуры...
При этом ты прав вещи разные.
...
Рейтинг: 0 / 0
Тотальное логирование в Windows 2003
    #34681233
nop
Скрыть профиль Поместить в игнор-лист Сообщения автора в теме
Участник
Так, ну что-то вы отошли от темы)

Ребят, давайте так. Тупо:
У вас дома стоит компьютер с 2003-виндой и MSSQL. Вы лично его администрируете. MSSQL используется удалённым компьютером. Но вы к ней имеете доступ.
То есть вы можете слить эту базу как в виде файлов, так и просто сделать дамп. Так вот, мне нужно зафиксировать в логах, что база была слита тем или иным способом (то есть хотя бы, что админ залогинился в базу тогда-то, тогда-то и висел столько-то на ней или что скопировал её файлы куда-то). И вы, в лице админа, не должны иметь возможности прибить эти логи.
...
Рейтинг: 0 / 0
Тотальное логирование в Windows 2003
    #34681255
MZH
Скрыть профиль Поместить в игнор-лист Сообщения автора в теме
Участник
Свойства SQL-сервера - Security - Audit Level - All
После этого события Logon и Logoff будут отображаться в Application Log.
Запретить админу стирать его непросто и вряд ли легко получится. Но можно сделать, например, регулярную выгрузку журнала в текстовый файл и сравнение размера выгруженного с предыдущим. Как только уменьшился-тут же отправить оповещение.
Доступ к самим файлам БД или бэкапам легко отслеживать через аудит доступа к обьектам.
...
Рейтинг: 0 / 0
Тотальное логирование в Windows 2003
    #34681266
Фотография Green2
Скрыть профиль Поместить в игнор-лист Сообщения автора в теме
Участник
2 nop
способы взять базу:
1 сделать backup, для ценной базы его надо делать обязательно. Он откладывается в логах sql server
2 Выключить компютер и тупо перекопировать файлы базы. Никаких логов...

Posted via ActualForum NNTP Server 1.4
...
Рейтинг: 0 / 0
Тотальное логирование в Windows 2003
    #34681273
MZH
Скрыть профиль Поместить в игнор-лист Сообщения автора в теме
Участник
Кстати, об ограничении локального доступа.
В некоторых банках, говорят, вход в серверную охраняется отдельно и доступ туда даже админам и ИТ-начальству предоставляется только после особого подтверждения. Не говоря уже о камерах на каждом углу и круглосуточной записи всего происходящего с серверами.
Может, стоит задуматься об изоляции сервера от админа?
...
Рейтинг: 0 / 0
Тотальное логирование в Windows 2003
    #34681279
Фотография Green2
Скрыть профиль Поместить в игнор-лист Сообщения автора в теме
Участник
MZH > Может, стоит задуматься об изоляции сервера от админа?
тупой вопрос, на сервере, например, задымился блок питания...
Тоже изолировать админа от сервера ?
Posted via ActualForum NNTP Server 1.4
...
Рейтинг: 0 / 0
Тотальное логирование в Windows 2003
    #34681292
MZH
Скрыть профиль Поместить в игнор-лист Сообщения автора в теме
Участник
Green2MZH > Может, стоит задуматься об изоляции сервера от админа?
тупой вопрос, на сервере, например, задымился блок питания...
Тоже изолировать админа от сервера ?
Posted via ActualForum NNTP Server 1.4

Если люди так боятся своего админа, но избавляться от него не желают, то почему бы не держать особо проверенного админа ради особо ценного сервера? Или создать особую процедуру для обслуживания.
...
Рейтинг: 0 / 0
Тотальное логирование в Windows 2003
    #34681328
Фотография Anatoly Podgoretsky
Скрыть профиль Поместить в игнор-лист Сообщения автора в теме
Участник
MZHВ некоторых банках, говорят, вход в серверную охраняется отдельно и доступ туда даже админам и ИТ-начальству предоставляется только после особого подтверждения.
Дык положено два автоматчика при теле, иначе какая безопасность.
...
Рейтинг: 0 / 0
Тотальное логирование в Windows 2003
    #34681337
Фотография Anatoly Podgoretsky
Скрыть профиль Поместить в игнор-лист Сообщения автора в теме
Участник
Green2MZH > Может, стоит задуматься об изоляции сервера от админа?
тупой вопрос, на сервере, например, задымился блок питания...
Тоже изолировать админа от сервера ?
С чего это сисадмину заниматься ремонтом, это совсем другая специальность.
...
Рейтинг: 0 / 0
Тотальное логирование в Windows 2003
    #34681351
Фотография Green2
Скрыть профиль Поместить в игнор-лист Сообщения автора в теме
Участник
Предлагаю nop почитать http://msdn2.microsoft.com/ru-ru/library/ms161948.aspx это что пишет о безопасности сервера microsoft. Нигде там нет защиты от сисадмина... Наоборот сисадмин сам несет ответственность за защиту системы.
Posted via ActualForum NNTP Server 1.4
...
Рейтинг: 0 / 0
Тотальное логирование в Windows 2003
    #34681469
Sergey Orlov
Скрыть профиль Поместить в игнор-лист Сообщения автора в теме
Участник
MZHСвойства SQL-сервера - Security - Audit Level - All
После этого события Logon и Logoff будут отображаться в Application Log.
Запретить админу стирать его непросто и вряд ли легко получится. Но можно сделать, например, регулярную выгрузку журнала в текстовый файл и сравнение размера выгруженного с предыдущим. Как только уменьшился-тут же отправить оповещение.
Доступ к самим файлам БД или бэкапам легко отслеживать через аудит доступа к обьектам.
Есть Local Security Setting -> manage auditing and security log , выкинуть оттуда администраторов, но перед этим кого-нибудь ввести, хотя на перезагрузке и в командной строке наверное можно...
...
Рейтинг: 0 / 0
Тотальное логирование в Windows 2003
    #34685155
aleks2
Скрыть профиль Поместить в игнор-лист Сообщения автора в теме
Участник
Green2MZH > Может, стоит задуматься об изоляции сервера от админа?
тупой вопрос, на сервере, например, задымился блок питания ...
Тоже изолировать админа от сервера ?
Posted via ActualForum NNTP Server 1.4

Лучше изолировать блок питания.
---------------------------------------
Ну что тута поделаешь - не понимают люди, что администратор сервера = доверенное лицо, уполномоченное делать с сервером и всем тем, что на сервере есть, все, что его душеньке угодно.

И можно только верить... или иметь равноуполномоченное "другое" лицо для аудита действий первого. Без абсолютных гарантий.

Ведь сказано: кто сторожит сторожей?
...
Рейтинг: 0 / 0
Тотальное логирование в Windows 2003
    #34690852
bk0010
Скрыть профиль Поместить в игнор-лист Сообщения автора в теме
Участник
Переходите на другие системы: в Informix можно разделить админа и офицера безопасности, в Linux SE есть разделения по уровням секретности и т.д. Но вам совершенно правильно говорят, что надо подобрать доверенного админа и исключить возможность проведения административных действий и физического доступа к серверу без сопровождения понимающего в IT ответственного лица или офицера безопасности. Но вообще стоит сильно подумать, насколько ценна ваша информация: безопасность данных - большой геморрой постоянно, а утечку предотвратить можно не всегда. В конце-концов, можно купить налоговую или милицию и они унесут ваши данные вместе с сервером, а все пароли вы им сами расскажите.
...
Рейтинг: 0 / 0
Тотальное логирование в Windows 2003
    #34690916
Albatross
Скрыть профиль Поместить в игнор-лист Сообщения автора в теме
Участник
надо использовать шифрование секретных данных
...
Рейтинг: 0 / 0
Тотальное логирование в Windows 2003
    #34692205
Фотография mayton
Скрыть профиль Поместить в игнор-лист Сообщения автора в теме
Участник
Мне кажется здесь вопрос - организационный. Если вы настолько не доверяете админу, тогда вопрос - зачем вам вообще админ. Выкинье машину из домена. Поставьте её в отдельную комнату под замок. Договоритесь, с руководством о том что ремонт и техобслуживание будете осущетсвлять лично.
...
Рейтинг: 0 / 0
Тотальное логирование в Windows 2003
    #34693951
Фотография Anatoly Podgoretsky
Скрыть профиль Поместить в игнор-лист Сообщения автора в теме
Участник
То есть админом будет он и вопрос встает по новой.
...
Рейтинг: 0 / 0
18 сообщений из 43, страница 2 из 2
Форумы / Windows [игнор отключен] [закрыт для гостей] / Тотальное логирование в Windows 2003
Найденые пользователи ...
Разблокировать пользователей ...
Читали форум (0):
Пользователи онлайн (0):
x
x
Закрыть


Просмотр
0 / 0
Close
Debug Console [Select Text]