Re: Durch Pkg-Installation erzeugte Benutzer finden
On Sat, 27 Jun 2015 18:06:40 +0200, Michael Welle <mwe012008@gmx.net>
wrote:
>Marc Haber <mh+debian-user-german@zugschlus.de> writes:
>> On Sat, 27 Jun 2015 17:39:40 +0200, Michael Welle <mwe012008@gmx.net>
>> wrote:
>>>Marc Haber <mh+debian-user-german@zugschlus.de> writes:
>>>> On Sat, 27 Jun 2015 15:20:15 +0200, Michael Welle <mwe012008@gmx.net>
>>>>>ich zweifle ein bischen, dass Du die Uebersicht ueber die Pakete
>>>> hast,
>>>>>die man auf einem Debian-basierten System installieren kann. Aus gut
>>>>>informierter Quelle weiss ich sogar, dass es tonnenweise Pakete gibt,
>>>>>die Du und wohl die meisten anderen auf dieser Liste nie gesehen haben ;).
>>>>
>>>> Pakete aus dubiosen Quellen einfach ohne Review und Korrektur der
>>>> installieren ist ein Adminfehler.
>>
>>>naja, da gibt es z.B. Leute mit eigener Software-Entwicklung im Haus,
>>>die am Ende deb-Pakete ausspucken.
>>
>> Das ist erst Recht eine dubiose Quelle. Wenn man auch die Quelle mehr
>> oder wirksam direkt LARTen kann.
>jepp. Aber letztendlich muss man den eigenen Kollegen halbwegs
>vertrauen, wenn man ein einigermassen nettes Arbeitsumfeld haben will.
>Dass es da Pakete gibt, die moeglicherweise/hoffentlich nicht durch die
>Debian-QA kommen ist klar. Das hindert diese aber nicht daran, in der
>definierten Umgebung gut zu funktionieren.
Es ist trotzdem eine gute Idee, sich mindestens bei so einfachen
Dingen wie UID-Bereichen an die Policy zu halten. Macht dem Entwickler
kaum Arbeit und spart dem Admin ganz massiv Aufwand. Das kommt aus der
gleichen Kiste wie DNS-Namen statt IP-Adressen.
>> Dann sollte man ja auch wissen was dieses Pakete an Accounts
>> benötigen. Notfalls guckt man halt in die Versionskontrolle.
>Janee, hier geht es jetzt ja um zwei topics: meine Eingangsfrage und das
>Fass, dass Dirk aufgemacht hat. Meine Eingangsfrage ergibt sich wohl im
>wesentlichen aus manuellen Anpassungen.
Die Eingangsfrage ist halt total schwer zu beantworten. Am ehesten
kommst Du vermutlich damit klar, wenn du Dir die aktuelle
/etc/passwd|group mit /usr/share/base-passwd/*.msater vergleicht. Dann
suchst Du nach Dateien und Verzeichnissen, die solchen
non-standard-Accounts gehören. Wenn es keine gibt, ist die Chance
schon sehr hoch, dass der Account nicht mehr gebraucht wird. Aber
selbst dann weißt Du nicht, ob nicht irgendwelche Binaries unter
diesem Account laufen, und er genau deswegen existiert, _weil_ ihm
keine Dateien oder Verzeichnisse gehören.
Ich würde bei verdächtigen Accounts schauen, ob Logins erlaubt sind
(kein ! in /etc/shadow und eine andere Shell als /bin/false) und nur
diese Accounts unter nähere Überwachung stellen. Wenn man sich mit
diesem Account nicht einloggen kann, ist die Gefahr, die von so einem
Account ausgeht, überschaubar. Fliegt halt beim nächsten Neuaufsetzen
des Systems raus.
Grüße
Marc
--
-------------------------------------- !! No courtesy copies, please !! -----
Marc Haber | " Questions are the | Mailadresse im Header
Mannheim, Germany | Beginning of Wisdom " | http://www.zugschlus.de/
Nordisch by Nature | Lt. Worf, TNG "Rightful Heir" | Fon: *49 621 72739834
Reply to: