Admin PC absichern

[wranger2]

Moin Moin,

wie sichert Ihr denn Eure AdminsPCs ab? Denn diese sind nach meiner Meinung die größten Einfallstore ins Netzwerk. Passwortdateien, FW-Regeln SSH-Keys, Zertifikate, gespeicherte Passwörter im Browser, Server-Doku.

Von dem AdminPC hat man also weitreichenden Zugriff aufs Netzwerk und erhält zudem ggf. noch Infos bzw. Loginkennungen.
-------------------
Angriffszenarien:

- Zufallsangriff über Exploid im Browser - Internet
- Dedizierter Angriff über Email - Internet/Intranet
- Trojaner auf Fileserver
- Testen von Software
- Fehlerbeseitigung beim Benutzer - Unaufmerksamkeit des Admins bei Passworteingabe oder Browsercache
- Keylogger
- ?

Wie wir sehen denkbar sind viele Szenarien, wie beugen wir dem vor.
--------------------

- Verschlüsseln von PasswörternDokus in Containern
- Verschiedenen Benutzer-Accounts
- Verschleierung der IP des AdminsRechners - NAT bei Email-Server Kommunikation
- Unterschiedliche VMs für unterschiedliche administrative Dinge
- Virenscanner
- Firewall
- ?

Momentan habe ich noch ein PC für Internet/Mail/Programmieren/Testen/Administration + eine VM für VMware/Fileserver

Was ich machen werden:

- PC zum Arbeiten (Schreiben, Doku-Lesen, Programmieren, Webbrowser-Administration)
- VM1 auf PC für (Email, Internet, Testen) - über NAT - Verschleierung der IP
- VM2 für VMwareadministration/Fileserver

- VM3 im anderen Netz für Linux-Serveradministration um dann per SSH auf alle anderen Server zu kommen?

-----
Wird VM1 nun gehackt bekommt diese ja die Tastatureingaben nur mit, wenn auch der Fokus auf dieser liegt, Passworteingaben oder ähnliches können somit von dem HardwarePC nicht ausgelesen werden.
VM2 und VM3 beziehen nur Software-Updates und sind reine Adminserver.

Ziemlicher Aufriss? Wie macht Ihr so etwas? Habe ich etwas vergessen, übersehen? Gibts hier nen best practise?

Wie könnte ein gezielter Angreifer noch an meine IP kommen? DNS

Gruß

[DrunkenFreak]

Genauso wie jeden anderen Rechner auch. Gehirn einschalten und nicht jeden Mist installieren. Sollte ein Außenstehender an meinen PC kommen, kann er auch gleich ein bisschen weiter zum Serverraum gehen und sich da die Daten direkt rausholen.

[KölscheJung]

Wie DrunkenFreak schon schrieb, Augen auf halten und nicht jedes Freeware installieren und testen wollen ;-) und das ganze nicht von sehr merkwürdigen Seiten ;-)

[corresponder]

http://linux-audit.com/linux-server-hardening-10-easy-steps-to-secure-your-system/

z.B.

gruss

c.