Нужно ли пользователям SSH на серверах? (Помогите пожалуйста советом)

[West!!!]

Здравствуйте, уважаемые!

В нашей фирме широко используется Linux на серверах компании. На протяжении 9 лет небыло нарекания на работу Linux. Недавно руководство выпустила директиву, закрыть SSH доступ пользователям на все сервера в том числе и на почтовые. По просьбе пользователей руководство дало вот такое разъяснение:

"Причина одна и это то, что вышеперечисленные сервера несут определенные сервисы, а именно: почта(ньюсы) и бэкап. Никакие другие сервисы они нести не должны. И постепенно мы будем избавлять данные сервера от неосновных сервисов. Таким же образом произойдет в будущем и с ftp, может быть путем переноса на другую платформу, не причиняя неудобств сотрудникам."

Я знаю что многие в нашей фирме пользуются SSH для доступа ко своей почте, так как это простой и удобный способ. Руководство требует объяснить зачем нужен доступ по SSH к почте. Аргументы что это просто и удобно их не волнует. Пиши зачем, а потом может мы дадим доступ.

1. Может и в правду не нужен пользователям доступ по SSH на сервера?
2. Опасно ли открывать доступ пользователям по SSH на сервера?
3. Могут ли сервера поддерживать несколько сервисов для пользователей?
4. Нужно ли переходить на другую платформу, если и так все работает?
5. Какие еще причины вынудили руководство закрыть доступ пользователям по SSH?

Надеюсь на Ваш компетентный ответ. Спасибо!

[Corsair]

1. Честно говоря, чтобы юзеры имели доступ на сервак просто для того, чтобы почту посмотреть... в общем для меня это нонсенс. Что мешает настроить почтовый сервер и пользовательские клиенты? Это не только проще, но и быстрее.
2. Ну... скажем так... с точки зрения банальной паранойи, это не есть гуд. Тем более, что вашу проблему можно решить и не давая им доступ.
3. Естественно

[VPF]

SSH необходим для администрирования, а пользователям уж точно не надо давать доступ.
Это же прямой доступ к файловой системе, а это очень опасно.

Про почту вообще не понял...
Что это за доступ к почте через SSH?

Самый лучший вариант удалённого и безопасного доступа к почте - через вебинтерфейс.

[m@key]

доступ на сервер должен быть у админа, админа, админа, и только админа.... я в этом вопросе на стороне твоего начальства (уж извеняй)..
на сервере не должно быть не чего лишнего... минимум сервисов... а если это еще и сервер с ценной инфой (корпоративная переписка начальника с секретаршей например) тем более ни какого доступа к файловой системе пользователям!

[West!!!]

Про почту вообще не понял...
Что это за доступ к почте через SSH?

Имелось в виду что пользователи используют mutt через ssh и сами правят свои .forward и .procmailrc.

[West!!!]

доступ на сервер должен быть у админа, админа, админа, и только админа.... я в этом вопросе на стороне твоего начальства (уж извеняй)..
на сервере не должно быть не чего лишнего... минимум сервисов... а если это еще и сервер с ценной инфой (корпоративная переписка начальника с секретаршей например) тем более ни какого доступа к файловой системе пользователям!

9 лет стояли сервера и небыло ни одного взлома. Люди пользовались. Вдруг оказалось что это не нужный сервис и его прикрыли. А доступ только для админа это немного параноидально.

[VPF]

Про почту вообще не понял...
Что это за доступ к почте через SSH?

Имелось в виду что пользователи используют mutt через ssh и сами правят свои .forward и .procmailrc.

Надо вам пересмотреть почтовую схему, а возможно и всё остальное.
Провести анализ, выявить проблемы, разработать план модернизации и выступить с предложением рук-ву.
Не рук-во должно указывать, а вы предлагать и обосновывать.
Иначе не совсем понятно, кто у вас администрирует и в чём ваша роль?

[VPF]

9 лет стояли сервера и небыло ни одного взлома. Люди пользовались. Вдруг оказалось что это не нужный сервис и его прикрыли. А доступ только для админа это немного параноидально.

Вот в этом и проблема...
Вас устраивает и вы не хотите что-то менять.
Неверный подход.
Необходимо совершенствовать систему, иначе зачем нужен сисадмин, если 9 лет всё работает и ничего не меняется?

Кстати, почему такая уверенность, что несанкционированных доступов не было?
Возможно, кто-то регулярно читает вашу корпоративную почту уже несколько лет...

На мой сервер (как и все остальные тоже) почти непрерывно сыпятся атаки на SSH.
Но они все выявляются и блокируются.
Если же я предоставлю доступ пользователям, то сам открою двери нараспашку...

[Corsair]

9 лет стояли сервера и небыло ни одного взлома. Люди пользовались. Вдруг оказалось что это не нужный сервис и его прикрыли. А доступ только для админа это немного параноидально.

Паранойя в нашем деле это только плюс!

[m@key]

А доступ только для админа это немного параноидально.

Издержки производства, или если хотите профессиональная болезнь админа - параноя...
и она не кому не помешала на сколько я знаю, во всем что касается серверов...
тут дело даже не во взломах и хакерах, или в не доверие к своим сослуживцам...
просто пользователь своим не знанием дела иногда вредит больше чем самый злой хакер...
да и нагрузка на сервер тоже имеет быть место, зачем нагружать его тем что не надо...
мое ИМХО пользовательская почта это удел почтовых клиентов (как альтернатива веб интерфейс предложеный VPF)
а что еще крутиться на сервере кроме почты?

ЗЫ. а что входит в сферу деетельности пользователей, если они пользуют mutt, ssh и правят свои .forward и .procmailrc.?? если не секрет??
а то своих офисных работников я даже шрифт менять научить не как не могу в ворде! не то что б конфиги править!

ЗЗЫ. ты уверен что твоим пользователям надо ssh если они у тебя на столько продвинуты? ;)

[VPF]

ЗЫ. а что входит в сферу деетельности пользователей, если они пользуют mutt, ssh и правят свои .forward и .procmailrc.?? если не секрет??
а то своих офисных работников я даже шрифт менять научить не как не могу в ворде! не то что б конфиги править!

ЗЗЫ. ты уверен что твоим пользователям надо ssh если они у тебя на столько продвинуты?

Вот и я тоже дивлюсь, что за пользователи такие?

[fed71]

2 West!!!

А может Вам есть смысл посмотреть в эту сторону?

http://www.egroupware.org/
http://www.egroupware.ru/

[Portnov]

Не, ну если у вас нормальная работа секретаря выглядит так

Код: Выделить всё

$ ssh server
server$ vi Годовой\ отчет.roff
...
server$ cat Годовой\ отчет.roff | tbl | troff -mm -o Отчет2007.ps
server$ lpr -\#2 Отчет2007.ps
...

То всё правильно, ничё менять не надо
Но доступ по ssh, чтоб проверить/настроить почту - это действительно нонсенс.

[serzh-z]

А доступ только для админа это немного параноидально.

Совсем нет... Некогда был случай, по моей вине (завёл временного юзера с простым паролем на удалённом сервере и, банально не сообщил админу про это и то что его уже можно удалить) сломали обычного юзера на сервере, и каким-то образом потом получили доступ к каким-то дырявым локальным сервисам... В любом случае, имея во владении аккаунт обычного пользователя, сломать сервер проще, нежели не имея никакого SSH-доступа вообще.

[West!!!]

Но доступ по ssh, чтоб проверить/настроить почту - это действительно нонсенс.

У нас специфика фирмы такая, что пользователи (не все, но многие) довольно легко пользуются командной строкой. Им проще набрать ssh mail mutt чем настроить GUI программу

2 West!!!

А может Вам есть смысл посмотреть в эту сторону?

http://www.egroupware.org/
http://www.egroupware.ru/

Спасибо, у нас уже давно mail через web, но вопрос не в интеграции, а в удобстве использования и привычках, которые заставляют ломать сверху.

[West!!!]

А доступ только для админа это немного параноидально.

Совсем нет... Некогда был случай, по моей вине (завёл временного юзера с простым паролем на удалённом сервере и, банально не сообщил админу про это и то что его уже можно удалить) сломали обычного юзера на сервере, и каким-то образом потом получили доступ к каким-то дырявым локальным сервисам... В любом случае, имея во владении аккаунт обычного пользователя, сломать сервер проще, нежели не имея никакого SSH-доступа вообще.

Ребята, у нас почтовые сервера стоят за фареволом. И как видно из цитаты руководства они не обеспокоены безопасностью. Прочтите внимательно, что они пишут.

Я понимаю все ваши доводы о безопасности, но серверы работают в уютной локальной сети и получить доступ к ним могут только сотрудники. И еще раз прочтите цитату руководства. Я в ней вижу только непоследовательность и неспособность понять нужды пользователей.

[Portnov]

Насчет "получить доступ к ним могут только сотрудники" - к сожалению, порядка 80-90% успешных атак осуществляется изнутри. Т.е. при помощи, попустительстве или халатности сотрудников.

[Sleeping Daemon]

А доступ только для админа это немного параноидально.

Совсем нет... Некогда был случай, по моей вине (завёл временного юзера с простым паролем на удалённом сервере и, банально не сообщил админу про это и то что его уже можно удалить) сломали обычного юзера на сервере, и каким-то образом потом получили доступ к каким-то дырявым локальным сервисам... В любом случае, имея во владении аккаунт обычного пользователя, сломать сервер проще, нежели не имея никакого SSH-доступа вообще.

Ребята, у нас почтовые сервера стоят за фареволом. И как видно из цитаты руководства они не обеспокоены безопасностью. Прочтите внимательно, что они пишут.

Я понимаю все ваши доводы о безопасности, но серверы работают в уютной локальной сети и получить доступ к ним могут только сотрудники. И еще раз прочтите цитату руководства. Я в ней вижу только непоследовательность и неспособность понять нужды пользователей.

А можно узнать, пользователи под какой ОС работают?
Хотя, ИМХО ssh нужен только для администрирования, или системных нужд.
А на клиентах - что тяжело поставить thanderbird например?
Или клиенты в консоли голой сидят?