вот только конец немного печальный. Гулаг резко снижает лояльность власти.

и что это за ос кроме aix?

Ну вот, одна уже нашлась. Ещё просто реализуется упомянутой в URL-е осью, и, с некоторыми особенностями, в hpux-е. Считай, «почти все» живые.

В данном случае есть только пункт 1

специалисты арендуются на рынке. За деньги. Пользователь, который не ломает - не нужен, нужны бэкапы (см.п.5), прав поменьше(см.п.1) и работа «по шаблону»(см.п.7).

Умные директора вообще неITшная проблема, и пп 1-5 никак не относятся.

Нет админов, которым можно доверять - нефиг вообще информационную инфраструктуру делать. Это ж надо предъявить требование о том, чтобы админ не мог выполнять свои обязанности (следить за бэкапами).

Это почему админ при таких требованиях не имеет возможности следить за бекапами ? Зашифрованный раздел : бекапить можно, доступа к данным нет.

Ладно, как поможет TPM, если linux ровно также его умеет? Тут два варианта либо ключ вводят каждый раз руками, что не всегда реально. Либо он хранится где-то в ОС, что огромная брешь в безопасности.

Болшьая часть из описанного, обычное увеличение корпоративной эффективности.

А другая часть, пример того что не надо работать в гебешно-чиновничьей конторе. Вы мне напомнаете наших крепостных крестьян работающих на предприятиях всяких разных олигархов состоящих в кпрф. Ой нас наг***ли и ***ли, проклятый капитализм. Вы когда к помещику шли в крепостные о чем думали? Ах с рождения на говнозаводе закреплены потому что родились в моногороде в котором ваш любимый ссср вас к станку приковал? Тогда какие проблемы.

PS
Все будет как всегда, это увеличение корп эффективности можно проводить только неразрывно с совершенствованием бизнес процессов. А бизнеспроцессы в таких конторах обычно лютый звиздец.

Это почему админ при таких требованиях не имеет возможности следить за бекапами ? Зашифрованный раздел : бекапить можно, доступа к данным нет.

Как админ проконтролирует целостность бекапов? Кто будет выстраивать архетектуру ИТ в том числе что где шифруется и как разрешается /запрещается доступ?

Ну и зашифрованый раздел только на запись это очень интересно, я подозреваю что такие решения есть, но много ли их на практике? Например у меня знакомые работают в очень крупном(5К рыл) поставщике решений для телекомов - у инженеров на сайте весь доступ к данным их серверов есть.

на это и есть kpi

Батенька, специально для русских дебилов(это я про ваших общих работодателей) даже в гребаной википедии есть иносказательное пояснение что метод «папа ты будешь меньше пить - нет сына, ты будешь меньше есть» не имеет с KPI ничего общего.

Но конечно не в коня корм, хехе. Они будут заниматься «увеличением» KPI приводя к его уменьшению но на бумажках будет все в порядке :D

специалисты арендуются на рынке. За деньги.

Давай смотреть на специалистов:
2.1. п.1, 2, 5 из топика - одна пачка специалистов;
2.2. п.3 - вторая пачка разработчиков;
2.3. п.4 - третья пачка разработчиков;
2.4. п.5 - четвертая пачка специалистов доделывает то, что недоделала первая пачка;
2.5. п.6 - окончательная пачка специалистов, которые это поддерживают.
А теперь танцы кризисный менеджмент. Умный директор - единственный, кто имеет доступ ко всей информации в соответствии с разграничением прав, и тут ему приспичило эту информацию изменять. Он просит у специалиста (2.5) расширить права доступа на редактирование информации, тот, разумеется делает, иначе с ним наступят пункты 6-8 из топика. Умный директор херит документы и бэкапы с помощью своих кривых рук, или банального трояна. Специалист (2.5) получает команду «Срочно и любой ценой» восстановить бэкапы, а т.к. имеет ограниченные права, а наемные специалисты из (2.1-2.4), слились, он их себе добывает, ломая по пути то, что сделано в п.1 и п.2, а из-за этого ломается все остальное и последняя группа наемных специалистов патчит это на ходу. Под конец, убыток от этих ремонтов системы на ходу перевешивает, нововведения демонтируются, следующий ITSMForum идет лесом.

Контейнеры? Они замешаны в незаконных поставках вооружений и наркоты и хотят скрыть инфу?

А уж если затронуть директоров, то и наполовину

И это при инфляции в стране.

порт чтоли?

концлагеря и штрафбаты построили почти всё в СССР.

Всю индустриализацию 30-х делали иностранные специалисты, в том числе даже квалифицированные рабочие. А землю вместо экскаваторов да, копали концлагеря и штрафбаты.

То же самое было позже когда строили заводы типа Камаза, с высокой долей иностранного оборудования. Отдельные городки для специалистов и все такое.

PS
А вы правда думаете что строительство которое сейчас делают вообще таджики(к вопросу о концлагерях и рабстве) и всякая конторская деятельность это одно им то же? :D

Как админ проконтролирует целостность бекапов?

А как её контролировать в случае без шифрования ? Да также и контролировать.

Кто будет выстраивать архетектуру ИТ в том числе что где шифруется и как разрешается /запрещается доступ?

Архитектор системы. Сдал систему под ключ, ушёл.

У ИБ полно работы в России, которую они в других странах не выполняют.

А, так, тогда, всё нормально. Обслуживание парка компьютеров лишним тоже не будет. Сисадмин не нужен. :-)

Уточни саму задачу. Что предполагается сделать, имея физический доступ к компьютеру? Утащить с его жёстких дисков некую информацию?

Нормальные люди оттуда 100% уйдут, остальные будут следить друг за другом, а прибыль падать. Обычная банальная азиатская синекура.

Это неверно. Многое из построенного ими было разрушено и не дожило до наших дней. По сути он годен только чтобы медленно и уныло копать большие канавы, и то использовать эккаватор за нормальные деньги будет дешевле. А доверять сложную технику несвободным людям крайне глупо.

Внести в NTDS.DIT нужные изменения и синхронизировать, работает даже с RODC, как это не смешно. Баг ровесник AD, работает даже на Windows 2012 R2.

теперь танцы

Креатив - говно.

пп. 1,3-5 существуют в виде готового софта, нужно только настроить и обставить костылями. «имеет доступ ко всей информации» - в ТЗ отсутствует. «расширить права доступа на редактирование» не нужно, для этого есть подчинённых редакторов контейнер и маленький вагончик. «херит документы и бэкапы» - для этого есть offline storage. «он их себе добывает, ломая по пути» - не нужно, бекдор был заложен изначально.

RIP.

1) Отнять полные права у админов в nix системах. Чтобы они могли ставить софт, редактировать разрешённые конфиги, но не имели доступа к информации на большинстве разделов.

То есть, в дополнение к имеющимся админам завести еще суперадминов, которые не будут отвечать за настройку и работоспособность. Клево.

Ну вот, первая контора в питере уже решилась на советы форума. Ваши господа предположения, во что превратится скоро работа?

Обанкротится та компания. Или если из-за личных связей безальтернативно на каких-то жирных контрактах сидит превратится в редкостный гадюшник.

Когда коту делать нечего он это самое... Есть примета: если руководство начинает считать кто сколько времени проводит в туалете и с какой частотой нажимает клавиши, значит дела идут плохо.

А как её контролировать в случае без шифрования ? Да также и контролировать.

В случае без шифрования это контролируют от «никак» до подписывания соответствующих юридических документов. С документами лучше выходит когда подрядчик внешний и с репутацией. Факт в том что хоть с документами, хоть без, но инженеры неизбежно имеют большой доступ к данным. И никакими «пишем на волшебный шифрованный диск» этого не устранить.

Кто будет выстраивать архетектуру ИТ в том числе что где шифруется и как разрешается /запрещается доступ?

Архитектор системы. Сдал систему под ключ, ушёл.

Кто-то потом эту архитектуру еще и воплощает. Ну предположим что он тоже воплотил а потом ушел. Что делать если в этой системе внезапно появляются глюки которые обезьянки описанные решить не могут? Просто потому что по экономической логике в такой системе операторы только нажимают на операторские кнопки.

В общем опыт эксплуатации сложных систем приводит к вполне определенному выводу. Можно сократить доступ лишних людей к данным. Но.

Либо у вас отлаженные бизнеспроцессы, и тогда можно их отразить в отлаженных информационных потоках, каковые в свою очередь можно обезопасить. Если же у вас потоки неотлаженные, то любая ИБ выше определенного уровня будет эти потоки блокировать и пострадает реальный (а не выдуманный что бы оправдать увольнения) KPI.

Если же вы имеете систему где бизнеспроцессы постоянно мутируют, приводя к мутациям информационных потоков - то там систему придется постоянно архитектурно перестраивать. А значит будет много людей которые имеют доступ к данным которых у них быть не должно.

Ну или будет сплошное очковтирательство по советскому образцу. Когда секретный завод с суровым КПП, обнесенный бетонным забором. Ну и дырки в заборе через которые рабочие справляются с неудобствами доставляемой Серьезной Безопасностью.

Обанкротится та компания. Или если из-за личных связей безальтернативно на каких-то жирных контрактах сидит превратится в редкостный гадюшник.

Это уже редкостный гадюшник. Просто ОП считает такое положение вещей нормальным.

если судить по СССР и 1930-1670 гулаг был эффективен, концлагеря и штрафбаты построили почти всё в СССР.

Если в них строили - это еще не значит, что они были эффективны. Никаких оснований считать их эффективными нет.

То есть, в дополнение к имеющимся админам завести еще суперадминов, которые не будут отвечать за настройку и работоспособность. Клево.

На самом деле такое обычно делают интеграторы. Правда за другие деньги.

Директора и Ко - это «свои люди». Возможно родственники или родственники важных людей. Азиатская контора не предназначена для того чтобы делать какое либо дело, её задача устройство правильных людей на уютное место. Потому они будут сокращать зарплату всем остальным и увеличивать себе пока компания не окажется в положении когда она больше не способна выполнять свою работу. Виноватыми, конечно, будут назначены «ленивые» работники.

было, Королёву и его сотрудникам грозила смертная казнь, если не отправят первыми человека в космос.

Жанр альтернативной истории, конечно популярен, но ты похоже чью-то фантастику путаешь с реальностью.

А совок потому и развалился, что после 70го рабов упразднили и попытались перейти на обычный труд.

Господи, какой бред!!!

Что делать если в этой системе внезапно появляются глюки которые обезьянки описанные решить не могут?

Она никогда не будет работать же. Будут красивые графики и отчёты про то как всё круто, а в то же самое время админы будут себе админить под рутом. Все такие «системы» устроены именно так.

Откуда столько дрочил на рабство и расстрелы? Вы действительно думаете что будете среди тех кто говорит «Расстрелять!» а не среди тех кому это говорят?

По личном наблюдениям, админы в подобные конторы обычно устраиваются с целью коммуниздинга казённого оборудования и/или ради возможности обзавестись связями для последующего устройства на нормальную работу.

пп. 1,3-5 существуют в виде готового софта, нужно только настроить и обставить костылями

Поэтому я и пишу «специалисты», а не «разработчики». Разворачивать тебе кто будет? Ночной сторож Дядя Вася? Костыли тоже денег стоят.
К тому же на п.3 наверняка нет единой системы, которая считала бы kpi на nix'овых рабочих машинках и на виндах и складывала бы в одну базу.

для этого есть подчинённых редакторов контейнер и маленький вагончик

Он захочет сам залезть туда своими ручонками, потому что директор, а остальные 4 директора захотят, потому что он захотел.

для этого есть offline storage

Даже если и есть (а в списке нету), это будет остановка производства.

«он их себе добывает, ломая по пути» - не нужно, бекдор был заложен изначально.

И остался во владении специалистов-интеграторов, которые сунут отказ от претензий.

Ты все очень доступно излагаешь, и, наверняка, правильнее чем я, но реальная жизнь обычно оказывается гораздо гаже рекомендательных вот списков с симпозиумов, независимо от профессиональной области.

Тем паче, что Королеву за халатность, приведшую к смертельному исходу, не вышку впаяли, а чуток подержали в лагерях, а потом пожалели и выпустили, чтобы человека в космос запускал.

ЩИТО =)

Королева в 1944 году выпустили и сидел он не за смертельный исход.

Т.е. выключить системник, выдрать диск из него, сторонним приложением изменить NTDS.DIT, задрать диск обратно, включить системник, дождаться применения изменений на домен — я правильно понимаю путь «отаке»?

реальная жизнь обычно оказывается гораздо гаже

O! В реальной жизни всегда приходится работать с системами, менее совершенными, чем даже лишённые воображения мы можем себе представить. От неидеальности всего умирают не многие, т.ч. нет повода так переживать. В том числе и из-за остановок производства, которое случается по IT-шным причинам только в виртуальном бизнесе, в у subj - реальное, контейнеры rm-ом не удаляются.

Вот, значит и у меня в башке каша.

запуск приложений им разрешён, после запуска NTDS.DIT, уже работает от пользователя «система» и посему ему похрен на запреты. Я тебе более того скажу, каждый месяц больше 300 компаний в питере страдают от вирусов работающих от системы, и начинающих работать после перезагрузки пк.Когда службы сканируют диск и кеши на скрытые обновления от майкрософта.

Зачем диск вытаскивать? Наркоман? Ты не представляешь насколько легко это делается. Я это в паре распальцованных организаций проделывал.

Она никогда не будет работать же. ... Все такие «системы» устроены именно так.

Да нет, это возможно. Просто не в «азиатской конторе». С людьми которые реально понимают что делают можно довольно сильно сократить лишний доступ к данным, ценой разумного усложнения и удорожания решений. А вот просто увеличивать безопасность ради того что бы платить меньше денег админам это очередной бизнес по русски.

То что они хотят реализуется за другие деньги другими людьми и стоит дороже лишних админских зарплат - совокупно решение с работающей ИБ стоит гораздо дороже такого же но без ИБ, плюс обслуживние, плюс риск для KPI.

я недавно через сайт на iis одной конторе в ad залез....

Жуткая утопия !

А те кто абсолютно всё завязывают на LDAP каталог в AD придурки конченные. Когда у фирмы по чужому заказу накроется всё: от телефонов до $MFT на клиентах, ойтиофис можно будет отвезти в лес и расстрелять. Есть же умники которые даже бекапы светят в AD.

kpi на nix'овых рабочих машинках и на виндах и складывала бы в одну базу.

Оно не kpi считает а рабочее vs нерабочее время.

Безопасность нельзя применять в целях экономии и мотивации к труду. Это идиотизм.

ITSMForum'a

Аааа еще те идиоты.

после запуска NTDS.DIT, уже работает от пользователя «система» и посему ему похрен на запреты

Ну, работает, и что? Как из-под ограниченной учётной записи можно достучаться до системных файлов/процессов, кроме как через 0-day уязвимости?

Наркоман?

А есть чо?

Я это в паре распальцованных организаций проделывал

Патч Бармина, подозреваю, там так же легко сработает. Если админ отключил встроенные средства безопасности ОС, то он мудак, а не админ.

Если админ отключил встроенные средства безопасности ОС

Лолшто?

Для не-азиатской конторы такое просто не нужно и никто делать не будет изначально. Ограничения доступа и прочее делать будут, но не систему для выжимания из людей денег в карман ещё десятку директоров.

любой что может запускать exe файл.