Dumme brugertricks: Elleve it-horrorhistorier

Uanset hvor hårdt vi beder, hvor mange kyllinger vi ofrer, hvor ofte vi chanter nøgen ved måneskin, er hvert netværk ad gangen udsat for den ultimative teknologirisiko: brugere.

De er korte, høje, tynde og fede. De er kloge eller dumme, unikke eller klonede -- men uanset hvad, misbruger de teknologien.

I respekt for mine mange år med at beskæftige sig med denne farligste art af dyreliv, har redaktørerne på bad mig om at registrere nogle af mine mest mindeværdige oplevelser sammen med tip til, hvordan man undgår lignende hændelser. Da jeg var både grundig og doven, besluttede jeg også at åbne ordet for vores eventyrlystne læsere, som har været venlige nok til at fortælle deres fortællinger om sorg og løsning.

Resultatet er en liste over problemkategorier hver med en specifik situation og løsning. Brede råd, der gælder for alle it-eventyrere, findes i den moralske opdragelse bagfra. Med held hjælper disse salutære oplysninger med at holde din bageste dækket.

Automatiske opdateringer

BrilliantCompany.com voksede med dot-com-boblehastigheder. Da afdelinger dukkede op som tusindfryd om foråret, afstod it-personalet skrivebordskontrol til afdelingsledere, fordi de fleste alligevel var tekniske alligevel.

Kort efter at et parti på 75 nye Dell-desktops ankom for at udfylde en ny produktafdeling, døde netværket pludselig midt på dagen. Alle lys var grønne i infrastrukturland, men ydeevnen var bremset til en sådan gennemgang, at LAN effektivt blev lammet. Noget flittigt sniffing og logfil-snooping afslørede synderen.

Det viser sig, at Windows XPs automatiske opdatering havde været standard til kl. 12 på en hverdag, og alle 75 maskiner forsøgte at downloade flere hundrede megs Service Pack 2 samtidigt og individuelt. Øjeblikkelig netværkstilstopning.

Opløsning: Centraliser it-kontrol, så en person kan være ansvarlig for alle detaljer. Dette blev gjort i kort rækkefølge, efter at jeg udgav et skønt notat til de relevante folk. Derefter gjorde jeg, hvad jeg skulle have gjort tidligere, og oprettede SUS (Software Update Services), nu WSUS (Windows Server Update Services), for at downloade opdateringer og distribuere på et passende tidspunkt og efter passende test mod OS-billeder fra afdelingerne.

Moralsk: Bare fordi dine brugere er tekniske, betyder det ikke, at de opfører sig mere detaljeret end den gennemsnitlige Joe. Hvis netværkets oppetid er dit ansvar, så tag ansvar og administrer det, der skal styres.

Kundebeskyttelse

læser SEnright fortæller en grådende fortælling: En mobilbruger kaldte for at sige, at hans bærbare computer ikke længere fungerede. Efter en lang telefonsamtale, hvor brugeren oprindeligt benægtede, at der var sket noget usædvanligt, afslørede han, at han havde spildt en hel dåse koks på tastaturet. ”Han fortsatte med at fortælle mig, at han havde forsøgt at tørre den med en hårtørrer, men at den stadig ikke ville starte. Jeg bad ham sende det tilbage til mig, og at jeg ville få det repareret. ”

Opløsning: Den bærbare computer var kun forsikret for "utilsigtet" skade. Siden hændelsen har SEnright været en selvfølge for at opretholde fuld dækning af mobilt udstyr.

Moralsk: Dæk dine mobile krigere. Det betyder ikke kun at forsikre deres hardware, men at give dem uddannelse og klare politiske dokumenter om, hvad der kan og ikke kan gøres med firmahardware på vejen. Sørg desuden for, at deres data er sikkerhedskopieret religiøst, både når de er på hjemmekontoret, og når de er på farten.

Executive indflydelse

Her er vi bekymrede over den øverste ledelse, der bare skal have fulde administrative rettigheder til hver maskine på netværket. Selvom han er lige så teknisk som min kat--og min kat er død.

Ældre brugere kan være farlige selv uden særlige adgangsrettigheder. John Schoonover, der arbejdede for Forsvarsministeriet på en af ​​de største netværksinstallationer i historien under Operation Enduring Freedom var "vidne til en enorm mangel på IQ-point" i en senior manager.

Ifølge Schoonover følger militære infosec-installationer generelt et koncept kaldet ”adskillelsen af ​​rødt og sort”. Rødt er simpelthen data, der endnu ikke er krypteret. (Fare, verden og sniffere kan se dig!) Sort er de samme data, efter at de er blevet krypteret og er nu klar til at krydse verden. "Disse områder [røde og sorte] skal adskilles af et seks fods fysisk hul," siger Schoonover.

Vores helt fortsætter med at følge disse retningslinjer og implementerer netværket, men kommer tilbage fra frokosten en dag for at finde firewallen nede. Undersøgelse viser, at en senior manager “havde taget kablet fra den indvendige router og oprettet forbindelse til Internettet for at få forbindelse og dermed omgå alle firewall-tjenester, kryptering og -- åh ja, det er rigtigt -- hele det sikre netværk med et spring direkte til Internettet! ”

Opløsning: John siger, at de "fjernede den skyldiges tommelfinger, for hvis du ikke kan gribe kablet, kan du ikke tage det ud." Jeg bad ikke om flere detaljer.

Moralsk: Håndtering af useriøse seniorbrugere er en kunst i sig selv, der kræver diplomati og endda direkte bedrag. I flere installationer har jeg omdøbt administrationskontoen noget som “IT” og gjort “Administrator” til en funktionelt begrænset konto med simpelthen mere læse- / skriveadgang til datakataloger, mens jeg stadig blokerer adgang til ting som Windows systemkatalog eller Unix rodkataloger . De fleste gange bemærker de aldrig; og hvis de gør det, er jeg ret god til at finde på undskyldninger for, hvorfor disse mapper forbliver lukket. ("Åh, det er noget, Microsoft gjorde i den sidste servicepakke. Gosh darn, at Bill Gates.")

Juridiske ørne på jagt efter IT-mus

Advokater ødelægger alt -- inklusive kørende netværk. Men it-ledere, der ignorerer det stadigt skiftende juridiske landskabs indflydelse på teknologi, gør det på deres fare.

Jeg blev engang kaldt ind som dommer blandt interne rådgivere, seniorledere og it-medarbejdere, efter at virksomheden blev informeret om, at børnepornografi var blevet sporet til dets servere. Virksomheden vidste ikke, om det skulle hjælpe efterforskningen ved at finde ud af, hvilken medarbejder der var ansvarlig eller bare slette alle de krænkende filer med det samme og sandsynligvis pådrage sig en bøde, men beskytte virksomheden mod at blive lukket ned.

I sidste ende lykkedes det advokaterne at indgå en aftale med efterforskerne. Virksomhedens IT-netværk forblev aktivt, og vi spurgte lavt levetid og fik ham arresteret. Lige så stille.

Opløsning: Tal med den øverste ledelse og virksomhedsrådgiveren om juridiske spørgsmål, såsom virksomhedsrespons på tredjepartsrevision eller virksomhedsansvar for data, som den har om tredjeparter, inden de sker.

Denne diskussion går ud over IT-centrerede løsninger. Ledelsen skal beslutte, om den vil beholde alle relevante data (den bedste fremgangsmåde for disse tredjepartsrevisioner) eller automatisk slette fornærmende data (såsom hvad der findes i pornofiltre).

IT og ledelse skal se øje for øje med, hvordan virksomheden vil reagere på retshåndhævende undersøgelser, efterforskning eller endda razziaer. Hvis Homeland Security-agenter mener, at en terrorist maskerer sig som en medarbejder og lagrer data på virksomhedsservere, kan de komme ind og stort set tage alt, hvad de vil. Det kan sætte en reel krympning i stil med f.eks. En e-handel.

Udvikling af den bedste fremgangsmåde bør involvere seniorledelse, virksomhedsrådgivning og retshåndhævelse. FBI er normalt ret nyttigt i disse diskussioner -- og det er sommetider den lokale afdeling for computerkriminalitet, såsom den store afdeling for efterforskning og teknologienhed i NYPD.

Moralsk: Jo højere du er i it-fødekæden, jo mere kan et sådant ansvar stave alvorlige problemer. Hvis du sørger for at diskutere i det mindste generelle juridiske begivenheder med den øverste ledelse, er du meget mere tilbøjelige til at gøre dig selv og din arbejdsgiver noget reel service i specifikke situationer. Hvis de nægter at diskutere sagen, skal du arkivere alt, hvad du kan.

Katastrofer i katastrofegendannelse

Gary Crispens rapporterer om en hændelse, han stødte på efter at have afhørt en it-direktør om virksomhedens beredskab til katastrofegendannelse. Direktøren svarede stødende, at det varme sted var klar til enhver katastrofe, inklusive den nødvendige plads og udstyr, alt sammen bakket op af en dieseldrevet generator med "masser af brændstof."

Efter cirka et år havde virksomheden et orkanrelateret strømafbrydelse, der tvang det til at rulle over til det varme sted. ”Sikkert nok havde IT-direktøren kritiske funktioner i gang, og jeg kunne høre den generator løbe tilbage. Men efter ca. otte timer slukkede strømmen for godt, og alle systemer styrtede ned, da generatoren stoppede. ”

Det viste sig, at ”masser af brændstof” var en 55 gallon tønde, der allerede var halvtom fra den månedlige test.

Opløsning: En katastrofegendannelsesplan, der krævede brændstofkontrol ud over generatorprøvning.

Moralsk: Katastrofegenoprettelse er ikke et statisk problem. En plan eller en politik er aldrig perfekt uden for porten. Nogensinde. Giv sådanne begreber forbi så mange erfarne øjne, som du kan, og besøg dem derefter årligt eller endda halvårligt med henblik på forfining.

Rogue periferiudstyr

CompUSA og Dummies-bøgerne lærer brugerne lige nok af det tekniske alfabet til at stave problemer.

En af mine yndlingshistorier var netværket, der blev hårdt hacket af en person, der kom ind udefra og slettede Exchange-meddelelsesbutikken. Firewall-logfiler havde ikke fået den lokale it-administrator intetsteds, så vi blev kaldt til for at snuse lidt rundt. Jeg ville ønske jeg havde tænkt på det, men en anden fyr på holdet havde mening at køre AirSnort. Han fandt et vidt åbent Linksys trådløst adgangspunkt på cirka seks sekunder.

Den interne administrator insisterede på, at der ikke kørte nogen trådløs steder på netværket. Det krævede noget sneaker-net, men vi fandt den useriøse AP på en senior eksekutivs kontor ca. 20 minutter senere. Syntes, at han så, hvor billige de var på den lokale CompUSA og besluttede at tilslutte en til den sekundære netværksport på hans kontor, så han kunne bruge sin notebooks trådløse i stedet for den kabelforbundne forbindelse, fordi ingen ledninger "ser bedre ud."

Et andet problem i denne retning er USB. At kunne tilslutte et perifert udstyr og opnå arbejdsstatus uden behov for at installere drivere har hurtigt spredt populariteten af ​​personlige periferiudstyr. Du vil ikke få dig selv til at blive suget ind i at støtte ting som printere, der ikke er på din officielle købsliste -- eller eksterne harddiske, DVD-drev, lydsystemer og endda skærme.

Du vil heller ikke have sikkerhedsrisikoen ved, at en medarbejder tilslutter en gig eller to tomme plads til nogen arbejdsstations USB-port og kopierer vigtige virksomhedsoplysninger. Kildekode, regnskabsdata og historiske optegnelser kan alle kopieres hurtigt og derefter gå ud i en persons hoftelomme.

Opløsning: Fortæl medarbejderne, hvad der er og ikke er acceptabelt som perifert udstyr til virksomheder. Hold en nøjagtig aktivregistrering af, hvad der tilhører IT-afdelingen, så du lettere kan finde eller ignorere de ting, der ikke gør det. Og hvis datatyveri er et problem, så overvej at beskytte dig selv ved at deaktivere USB-drev, afinstallere CD-RW-drev eller lignende foranstaltninger. Det arbejde, du udfører nu, kan gemme din bacon senere.

Moralsk: Asset management er ikke kun for anal. At vide præcis, hvad der skal være på dit netværk, er et vigtigt skridt til at løse en lang række it-mysterier.