采取措施防止“不可想象”

Question

我们有两个系统管理员，他们知道我们所有系统的密码。如果发生了“不可思议”的事情（也就是“他们都在公共汽车下”），目前剩余的团队成员无法获得对系统的管理员访问权限。

我们应该遵循哪些步骤或程序来防止这种情况发生，同时仍然保持系统安全？

Answer 1

让他们写下关键密码，将它们密封在信封中，然后将它们存放在保险箱、保险箱或其他物理安全性较高的地方。你要确保只有像 CEO 或其他值得信赖的人才能访问它，并确保他们只能通过会留下物证的方式访问它。

Answer 2

制定一个程序，在他们每次进行重大密码更改时（如 DC 上的恢复密码，如林的第一个域（应位于 Enterprise Admins 组）中的原始管理员帐户的密码等）他们将帐户和密码记录两次。这些帐户/密码组合会立即密封在一个信封中并贴上适当的标签。一个信封留在现场的安全位置（如保险箱）。另一个在您异地的任何地方都是安全的磁带/软件是。在这种情况下，您可以恢复所有关键密码。

Answer 3

其他人都提到了物理写下密码并将它们存储在安全地方的必要性。我会提到一些同样重要的事情：确保密码清晰易读！！！没有什么比查看灾难恢复密码日志并且无法分辨零、字母 O、一个、小写的 'l 等之间的区别更糟糕的了，因为您现在已故/被剥夺权利/疏远的系统管理员拥有终身医疗人员的笔迹教授。即使是“英俊”的笔迹也会在各种符号中产生歧义。如果密码足够复杂，那么这些歧义可能会导致长时间的密码猜测，或者让您有理由学习如何设置 Cain 和 Abel 以使用正则表达式对系统上的密码进行暴力破解。

例如，我会写下指向用户名的箭头并说“对于你们所有的 Windows 管理员——这个用户名实际上是区分大小写的！！ ”或“这是英文字母表的第 12 个字母，也就是字母“l”，读作“ell” “”。是的，我就是那个偏执狂。

是的，我有强迫症。

不，我没有吃药。=（