| Para el Esquema Nacional de Seguridad las primeras auditorías ya nos impusieron el uso de cuentas específicas de administrador. Para una certificación del Reino Unido llamada CyberEssentials también se nos impone las cuentas de administrador separadas de las que no tiene privilegios. Eso no es nada nuevo y lo comprendo. Aquí la cuestión es separar y tener medidas de contención, han comentado SELinux que desde luego es el método más complejo y es una gestión adicional. Además me preocupa la implementación que haga Debian. Yo tampoco entiendo por qué el auditor específicamente nos indica que su y sudo no son suficientes, aunque en el aspecto técnico de sudo además aparecen deficiencias que se pueden leer en este hilo: https://forums.freebsd.org/threads/poettering-announces-tool-in-new-systemd-version-to-replace-sudo.93389/ Los chicos de FreeBSD optaron por reducir el grado de exposición y como buena filosofía que tiene en lugar de tirarlo todo y venir con algo nuevo lo que hicieron fue reducir y simplificarlo creando “doas". Por ahora estamos peleando una combinación de cuentas sin privilegios con sus grupos de permisos, más la cuenta con privilegio pero no el root total sino sólo lo que necesiten mediante grupos de permisos, y esperemos que vean un simple `su - usuario_Adm` como suficiente. Gracias.
|