Onderwerp: Ex werknemer van Hostator had nog steeds toegang tot 2700 servers.

Hadden jullie dit al gelezen?

Former Hostgator employee arrested, charged with rooting 2,700 servers
http://wht.to/14VuPeD

Hoe gaan jullie eigenlijk om met dit potentiele probleem?

ziet eruit als "voorbedachte rade" en kun je dat uberhaupt tegenhouden? ziet er zeker wel eng uit...

volgens mij zijn er niet veel mogelijkheden om iemand uit je servers te houden als op deze manier gewerkt wordt. kan me voorstellen dat je alle SSH keys met (hoge?) regelmaat maar op z'n minst per vertrek van een medewerker allemaal kan vernieuwen maar of je daar nou altijd vrolijk van wordt

Ik ben er niet echt door verrast, het zal ook zeker niet de laatste keer zijn dat nieuws als dit naar buiten komt. Wel apart ze blijkbaar iedere minuut een screenshot maakten van het scherm van een werknemer. Enerzijds het privacy aspect natuurlijk, maar ook de storage die nodig is om iets als dat bij te blijven houden.

Uiteindelijk denk ik dat je er niet heel veel tegen kunt doen. Het komt uiteindelijk allemaal neer op vertrouwen. Je kunt heel ver gaan in je beveiliging maar dan heb je en de kans dat je geen werknemers meer kunt vinden (wil je echt werken voor een bedrijf wat iedere minuut een screenshot maakt?) en de werknemer blijft alsnog de zwakste schakel. Interessante kwestie, dat zeker.

Tegen een backdoor installatie kun je weinig doen, tenzij je alles logt op elke server en een ander team dit opvolgt van wat er juist op de servers gebeurt. Maar dan zit je basis van vertrouwen al grondig verkeerd, want je verwacht van je administrators ook niet dat ze zo een dingen doen. En dan blijft de vraag hoe ver ga je hier in, zet je dan nog een ander team in om het controle team in de gaten te houden.

Maar wat ik dan niet snap is hoe hij vanuit andere locaties op het netwerk geraakt, dit zou je toch met een firewall moeten kunnen blocken. Zelfs al werk je met een reverse shell connectie dan nog moet het opvallen in de firewall dat er uitgaande connecties zijn van 2700 server naar een server ergens in Duitsland. En wat betreft de ssh keys, daar zie ik het probleem eigenlijk niet in, de ontslagen medewerker zijn ssh key direct ongeldig maken en klaar. Zelf al zou die ander keys gestolen hebben dan is hij daar nog niets mee als je die keys ook met een wachtwoord beveiligd. Maar dan moet je je personeel wel even goed opleiden dat ze hun persoonlijke wachtwoord niet aan derden mogen meedelen en ondertussen kun je nieuwe ssh keys uitrollen voor de overige werknemers.

Het feit dat er screenshots genomen worden verschiet ik niet zo van, dat is net hetzelfde als dat er camera's hangen of dat een bedrijf traffic analyzing doet op firewall/router om te zien waar hun personeel mee bezig is.