IT 经理要离职 - 我要锁定什么？

Question

IT 经理可能会离开，并且分道扬镳可能并不完全是文明的。我真的不希望有任何恶意，但以防万一，我应该检查、更改或锁定什么？

例子：

• 管理员密码
• 无线密码
• VPN 访问规则
• 路由器/防火墙设置

Answer 1

显然需要解决物理安全问题，但在那之后......

假设您没有员工离职的书面程序（环境通用，因为您没有提到您运行的平台）：

1. 从周边安全开始。更改任何外围设备（如路由器、防火墙、VPN 等）的所有密码……然后锁定 IT 经理拥有的所有帐户，并查看所有剩余帐户中不再使用的帐户和不使用的帐户t 属于（如果他添加了辅助）。
2. 电子邮件 - 根据您的公司政策，删除他的帐户或至少禁用登录。
3. 然后通过你的主机安全。所有机器和目录服务都应该禁用和/或删除他的帐户。（首选已删除，但您可能需要审核它们，以防他首先运行在它们下有效的任何内容）。同样，还要检查不再使用的任何帐户，以及任何不属于的帐户。禁用/删除那些。如果您使用 ssh 密钥，您应该在 admin/root 帐户上更改它们。
4. 共享帐户（如果有）都应该更改其密码。作为一般做法，您还应该考虑删除共享帐户或禁用它们的交互式登录。
5. 应用程序帐户...不要忘记更改密码，或从他有权访问的所有应用程序中禁用/删除帐户，从管理员访问帐户开始。
6. 记录...确保您有良好的帐户使用记录，并密切监视以查找任何可疑活动。
7. 备份...确保您的备份是最新的、安全的（最好是异地的）。就帐户而言，确保您对备份系统进行了与上述相同的操作。
8. 文件……尽可能多地识别他的身份，如果可能的话向他索取，然后将他的所有文件复制到安全的地方。
9. 如果您有任何外包服务（电子邮件、垃圾邮件过滤、任何类型的托管等），请确保对这些服务执行上述所有操作。

在您执行所有这些操作时，将其记录下来，以便您为将来的终止制定适当的程序。

此外，如果您使用任何托管服务，请确保从访问列表和票证提交列表中删除他的名字。明智的做法是对他是主要处理人员的任何其他供应商做同样的事情，这样他就不能取消或弄乱您从这些供应商那里获得的服务，同时也让供应商知道与谁联系以进行续订，问题，等等......当 IT 经理没有记录的事情发生时，这可以为您省去一些麻烦。

我敢肯定还有更多我错过了，但这不在我的脑海中。

Answer 2

不要忘记物理安全 - 确保他无法进入任何建筑物 - 网络套件遍布您的位置很棒，但如果他可以到达数据中心，那就毫无意义了。

Answer 3

我们怀疑一个心怀不满的员工在通知期内可能安装了一些远程访问程序，所以我们将他的登录帐户限制在工作时间，这样他就无法在下班后无人在场的情况下远程访问事情（在工作时间我们可以清楚地看到他的屏幕，所以如果他起床恶作剧，我们就会知道）。

结果证明他很有价值，他安装了 LogMeIn 并且确实尝试在下班后访问。

（这是一个小公司网络，没有 ACL 或花哨的防火墙）

Answer 4

还要注意不要锁定太多。我记得有一次有人离开了，一天后很明显，一些关键业务软件实际上在他的个人用户帐户下运行。

Answer 5

只是补充一下 - 还要确保您对失败和成功的登录进行了审核- 帐户失败后成功可能等同于黑客攻击。如果 IT 经理参与了密码设置，您也可以让其他人更改他们的密码。也不要忘记数据库密码，您可能需要清理他/她的电子邮件帐户以获取安全信息。我还会对任何机密信息/数据库进行访问检查，并禁止他/她执行系统/数据库备份。

希望这可以帮助。

Answer 6

在你让这个人离开之前，也要确保了解事情可能并且将会失败，或者在你更换那个人之前会出现问题。我希望你不会因为你认为/知道这不会是一次好的分手而责怪他们，或者认为他们会因为马桶溢出而以某种方式攻击你。

希望这个场景对你来说听起来很荒谬。但这是我上一份工作的真实故事，现在老板正试图起诉我破坏行为（主要是因为我辞职了，他们实际上不愿意支付任何人以市场价格来取代我）和网络犯罪，例如黑客攻击和网络敲诈勒索。

底线是，评估他们被解雇的“原因”。如果不是经济需要，我建议您改进您的招聘程序，以便您可以聘请更专业的人每个人都必须遵守的安全程序。

在您面试时了解的一种方法是，作为回报，他们对您和您的企业的面试效果如何。责任（就像公司认为 IT 经理可能因出现问题而承担的过错一样——通常是在合同中）和整体网络安全是任何合适的 IT 经理/CTO 在到来时最关心的三件事之一在面试工作。

Answer 7

更改所有管理员密码（服务器、路由器、交换机、重新访问、防火墙） 删除 IT 经理远程访问的所有防火墙规则。如果您正在使用安全令牌，请取消 IT 经理的令牌与所有访问权限的关联。删除 TACACS 访问（如果您使用它）。

确保在会议室或其他物理控制下与 IT 经理一起进行这些更改，这样他/她就无法观察到过程。虽然阅读在键盘上输入的密码并非易事（不难，只是不简单），但如果需要重复，则密码被收集的风险更高。

如果可能，请更换锁。如果密钥可以复制（简而言之，它们可以），这将阻止 IT 经理在之后获得物理访问权限。禁用任何您无法解释的通行卡（不仅是您知道已发给 IT 经理的卡）。

如果您有多条传入电话线，请检查所有这些电话线，以确保没有未知设备连接到它们。