Как обеспечить блокировку рабочей станции при выходе? Это важно?

Question

В вашей организации каждый разработчик должен блокировать свою рабочую станцию ​​при выходе из нее?

В чем вы видите риски, когда рабочие станции остаются разблокированными, и как, по вашему мнению, такие риски важны по сравнению с рисками безопасности, связанными с «перехватом» (взломом сети)?

Какие политики, по вашему мнению, наиболее эффективны для принудительной блокировки рабочих станций? (Политики могут быть либо «техническими», например, настройки безопасности группы доменов для экранных заставок, которые нужно заблокировать, либо «социальными», например, применять некоторые штрафы к тем, кто не блокирует, или поощрять Goating ?)

Answer 1

Основными рисками в реальном мире являются ваши коллеги "козел" вас. Вы можете применить это, установив групповую политику для запуска заставки через X минут, что также может заблокировать компьютер.

Answer 2

Для меня это стало привычкой. На компьютере с Windows нажатие Windows-L - это быстрый способ блокировки компьютера.

Решение может быть скорее социальным, чем техническим. Убедите людей, что они не хотят, чтобы кто-то еще читал их электронную почту или подделывал их учетные записи, когда они уходят.

Answer 3

В моей организации (правительстве) да. Мы имеем дело с конфиденциальными данными (медицинские и SSN). Для меня это инстинктивно: Windows + L каждый раз, когда я ухожу.

Политика является социальной и технической. Что касается социальной стороны, нам напоминают, что личная безопасность важна, и каждый знает о данных, которыми мы владеем. С технической стороны рабочие станции используют групповую политику, которая включает экранную заставку через 2 минуты с включенным «При возобновлении, защитой паролем» (и его невозможно отключить).

Answer 4

Раньше я работал в очень большой корпорации, где рабочая станция требовала, чтобы ваш значок был вставлен в нее для работы. Вам не разрешалось входить в здание (вам все равно нужен значок, чтобы открыть двери) без этого значка. При извлечении значка из устройства чтения смарт-карт рабочей станции вы автоматически вышли из системы.

Не по теме, но даже аккуратно, рабочие станции были больше похожи на «сетевые станции» (обратите внимание, что использовать систему, которую я только что описал, не обязательно), и значок содержал вашу сессию. Вставьте его на другую рабочую станцию ​​в другом здании, и вот ваш сеанс, как вы его покинули, когда вытаскивали значок на другом компьютере.

Таким образом, они в основном решили эту проблему, физически вынудив людей выйти из своей рабочей станции, что, я думаю, является наилучшим способом реализации любой политики безопасности. Люди забывают, это человеческая природа.

Answer 5

Нет, но я организация 1 - в прошлый раз, когда я работал в большой организации, мы не были обязаны, но поощрялись. Если бы я был в окружении с другими людьми, я бы, вероятно, заблокировал свою рабочую станцию ​​сейчас, когда я покинул ее. Конечно, люди с физическим доступом могут добавлять аппаратные кейлоггеры, но блокировка добавляет дополнительный уровень безопасности. Я думаю, что в зависимости от типа вашей организации риски скорее связаны с отслеживанием внутри организации, чем с проводными атаками.

Answer 6

Я никогда не блокирую свою рабочую станцию.

Когда мой коллега и друг издевались надо мной и пытались отправить смущающие электронные письма с моей машины, я высмеял его в ответ на мысль, что блокировка НИЧЕГО делает, когда у меня есть физический доступ к его машине, и я связал его с этим URL:

http://www.google.com/search?hl=en&q=USB+keylogger

Я не работаю с какими-либо конфиденциальными данными, к которым мои коллеги уже не имели бы равного доступа, но я сомневаюсь в эффективности блокировки рабочих станций по отношению к определенному snoopish коллеге.

edit: причина, по которой я не блокируюсь, заключается в том, что я привык, но это продолжало создавать странные нестабильности в окнах. Я перезагружаюсь только по требованию, поэтому я ожидаю, что моя машина будет работать месяцами, не становясь нестабильной, и мешает блокировка.

Answer 7

Гоготь может тебя уволить, поэтому я не рекомендую этого делать. Однако, если это не случай, когда вы работаете, это может быть эффективным, даже если это просто обширное электронное письмо с надписью: «Я всегда буду блокировать свою рабочую станцию ​​с этого момента».

По крайней мере, машины должны блокироваться после X минут бездействия, и это должно быть установлено с помощью групповой политики.

Безопасность - это поднятие планки, усиление усилий, необходимых для выполнения чего-то плохого. Если вы вообще не блокируете свою рабочую станцию, эта планка опускается.

Answer 8

Единственное место, которое я видел, где это действительно важно, - это государственные, оборонные и медицинские учреждения. Лучший способ обеспечить это - использовать пользовательские политики в Windows и «точечные файлы» в системах Unix, где заставка и тайм-аут заранее выбираются для вас, когда вы входите в систему, и вам не разрешено их изменять.

Answer 9

Мы объединяем социальные и технические методы, чтобы побудить ИТ-специалистов блокировать свои ПК: стандартные заставки / настройки блокировки, а также угроза кражи. (Последнее место, где я работал, фактически заблокировало настройки экранной заставки.)

Следует иметь в виду, что если у вас есть приложения (особенно если они SSO), которые отслеживают активность, изменения или и то, и другое, данные, которые вы собираете, могут быть менее ценными, если вы не уверены, что пользователь записал в данные - это пользователь, который фактически внес эти изменения.

Даже в такой компании, как наша, где не так много конфиденциальной информации, относящейся к компании, доступной большинству пользователей, безусловно, есть вероятность, что кто-то получит данные NBR от другого сотрудника через незаблокированную рабочую станцию. Сколько людей сохраняют пароли к веб-сайтам на своем компьютере? Amazon? Фэнтези-футбол? (Опасная техника козла: выкинуть ключевого игрока из чужого списка. Это действительно забавно, только если с тобой есть комикс, так что игрок может быть восстановлен ...)

Еще одна вещь, которую следует учитывать, это то, что вы не можете быть уверены, что все в вашем здании принадлежат там. Гораздо проще взломать сеть, если вы на самом деле находитесь в здании: конечно, подавляющее большинство людей в здании присутствуют, потому что им позволено, но вы действительно не хотите становиться жертвой компании, когда этот один парень из миллиона попадает в здание. (Это даже не должен быть преднамеренно плохой парень: это может быть чей-то ребенок, друг, родственник ...) Конечно, сотрудник, который впустил этого человека, мог также позволить этому человеку использовать свой компьютер, но такого рода атаки гораздо труднее остановить.

Answer 10

Я использую Pageant, и мой SSH-открытый ключ распределен по всем серверам здесь. Тот, кто садится на мою рабочую станцию, может в основном войти в любую учетную запись везде с моими ключами.

Поэтому я всегда блокирую свою машину, даже на перерыв 30 с. (Windows-L - это, по сути, единственный ярлык на основе Windows-ключа, который я знаю.)