Ограничить доступ

Добрый день!
Нужна консультация по вопросам

В Lotus сейчас у группы людей есть полные админские права. В эту группу входят:
1. Администраторы компании, которые вводят / редактируют / удаляют пользователей (внутренние);
2. Администраторы прочих баз;
3. Разработчики баз в Lotus;

Нужно:
1.В связи с утечкой информации, необходимо ограничить права доступа к письмам всех сотрудников у всех админов, но должна остаться возможность вводить / редактировать / удалять пользователей и решать их проблемы.
2.И если есть возможность каким либо образом шифровать или паролить почтовые базы, чтобы админы не могли скопировать базу и открыть ее в другом Lotus или локально.
Думаю действия такие: (поправьте)

1. Знаю что есть волшебная кнопка Full Access Administrations, возможно ей пользуются.
Запретить ее в настройках серверного документа вкладка Security - Full Access administrators?

2. Далее думаю нужно пройтись по почтовым базам и удалить группу Administrations, и поставить вместо нее свою, в которой будут только нужные люди.

3. Админов думаю нужно оставить в разделах на вкладке Security серверного документа:
Чтобы они могли работать с Адресной Книжкой и другими базами.

Full Access administrators: убрать
Administrators: оставить
Database Administrators: оставить
Full Remote Console Administrators: оставить

4. Что сделать с шифрованием?

5. где можно систематизировать логи того какие люди куда лазиют?

0

Сообщение от lmike сессионный ключ вычислять придется

Если по смтп все работает, то не придется)
Вопрос к топикастеру, а вы искали вуайериста ? Или у вас отключен user activity по базам?

0

Сообщение от aameno2 Если по смтп все работает, то не придется)

А если смтп по тлс? )
Мне все это напоминает как Чапай руками на карте планировал наступление)))
Проблема типикастера не в поимке нарушителя, а в отсутствии знаний по реализации механизмов безопасности в домино. Причем этими знаниями в полной мере не обладает никто на этом форуме - включая себя любимого
А все потому, что многим это не нужно и рекомендации как защиты так и нападения базируются на теории, которой в обычной практике по безопасности в чистом виде не встречается, ибо всегда идет парой с административным регламентом.

0

Сообщение от aameno2 Вопрос к топикастеру, а вы искали вуайериста ? Или у вас отключен user activity по базам?

кто такой и где можно посмотеть включен ли user activity по базам?

0

Сообщение от deeeman кто такой и где можно посмотеть включен ли user activity по базам?

Вы неистово ленивы месье

0

ну в 80% случаях админ domino и программист, поэтому в большинстве случаев права есть на все у всех
просто читать чужие письма решается банальным включением шифрования писем для всех в политиках....это решение сразу отсечет где-то 70-90% таких шпионов. Все остальные методы бессильны и полной блокировки не получите, т.к. есть куча методов увидеть то, что спрятано. А если в своей паранойе дойти до абсурда, то можно и сервер с данными потерять. Это тоже надо иметь ввиду.
Была одна история на работе. Приехала какая-то крупная аутсорсинговая компания делать анализ на безопасность ИТ системы или тому подобное. Пришли к админу бд оракла и спросили: вы можете прочитать данные с базы? На что естественно получили ответ, что может. Сразу выставили галочку - непорядок, ограничить доступ. Но проблема в том, что при падении базы это единственный человек со всеми правами, который может восстановить потерянные данные и лишение его этих прав автоматически делает невозможность восстановления информации.

0

Сообщение от lmike ты слова "нет прав" принципиально не хочешь видеть опиши схему с сетью - у тя какое-то рассогласование получается -в сеть поставить сервер низя (с именами кот. уже присут) -реплику скопировать на сервер низя (нет прав) -создать док сервера, в АК, низя -изменить док сервера в АК низя -к серванту нет доступа иначе как с клиента нотес

с любого клиента лотус я имею доступ в АК - а значит могу сделать реплику ;)

0

Сообщение от erdi ну в 80% случаях админ domino и программист

это не мешает всякому "разделению", еще в "далеком" 97, головной офис присылал нам АК и ИД серверов для установки по СНГ.
Права в АК - автор (в т.ч. для сервера), на там всякие ограниченные роли, на хабы ваще пробиться было нереально
спокойно работали и управляли (в срезе СНГ), на мэйлбокс хабов - депозитор


--- Добавлено 30 мар 2015. Первое сообщение размещено 30 мар 2015 ---

Сообщение от ToxaRat с любого клиента лотус я имею доступ в АК - а значит могу сделать реплику ;)

и что дальше? изменения никак обратно не возвратишь, да еще и пропалишся

0

Еще вопрос: как то можно ограничить чтобы под определенным id входили только с определенного компа?
вроде где то видел такое в настройках сервака, не могу найти...

0

Сообщение от deeeman Еще вопрос: как то можно ограничить чтобы под определенным id входили только с определенного компа? вроде где то видел такое в настройках сервака, не могу найти...

Вот такое видел. А у вас веб отключен на серверах?

0

Сообщение от lmike и что дальше? изменения никак обратно не возвратишь, да еще и пропалишся

разве при репликации проверяется доступ тех кто менял документ?
как пропалюсь то?

0

Сообщение от ToxaRat разве при репликации проверяется доступ тех кто менял документ? как пропалюсь то?

если нет прав - будут сообщения в логах


--- Добавлено 30 мар 2015. Первое сообщение размещено 30 мар 2015 ---

проверяется доступ тех - кто репликацию делает

0

Сообщение от ToxaRat разве при репликации проверяется доступ тех кто менял документ

Enforce consystent ACL across all replicas, у меня везде включена)
И вот например, про хитрых

0

Сообщение от aameno2 Enforce consystent ACL across all replicas, у меня везде включена) И вот например, про хитрых

Тссс!! Щас @ToxaRat расскажет как снять байтик в ODS41 в реплике через клиента 4.6, чем очень порадует майл-вуеристов ))) Только вот как поведут современные сервера на это - фиг знает... Потому что нафиг ))

0

Сообщение от rinsk Тссс!! Щас @ToxaRat расскажет как снять байтик в ODS41 в реплике через клиента 4.6, чем очень порадует майл-вуеристов ))) Только вот как поведут современные сервера на это - фиг знает... Потому что нафиг ))

Нуу у меня минимальная версия выставлена в 8.5, и ODS 51. Конечно никто не мешает перенести реплику на клиента 4.6.....сам экспериментировать не буду)

0

Сообщение от lmike проверяется доступ тех - кто репликацию делает

доступ кто делает репликацию не поменялся
ACL в реплики тоже не менялся
что не так? ;)

Сообщение от aameno2 Нуу у меня минимальная версия выставлена в 8.5, и ODS 51. Конечно никто не мешает перенести реплику на клиента 4.6.....сам экспериментировать не буду)

new replica
names.nsf -> names.ns5

0

Сообщение от ToxaRat new replica names.nsf -> names.ns5

безусловно, обратно как? Если у вас права на только чтение, и Enforce consysten?

0

Сообщение от aameno2 безусловно, обратно как? Если у вас права на только чтение, и Enforce consysten?

базу я забрал или нет?
а в какой среде я буду её менять не меняя при этом ACL? ;)

0

@ToxaRat,
Чо ломаем? Если коротко ...
Напомнить, что дура 4-ка не проверяет подпись кое каких имен?

0

Сообщение от ToxaRat а в какой среде я буду её менять не меняя при этом ACL

Забрали, с этим никто и не спорит. И даже отредактируете, а вот обратно -
сомнения меня гложут. Могу дать реплику, продемонстрируете?

0

Сообщение от ToxaRat доступ кто делает репликацию не поменялся ACL в реплики тоже не менялся что не так? ;)

то - что если док изменился, а прав на это нет (на сервере) - то обратно его "не примут"

0