Domino 9 und frühere Versionen > ND8: Administration & Userprobleme

Benutzeraktivität

<< < (3/5) > >>

eknori (retired):
Davon ausgehend, daß der Admin nicht vom Client aus mit seiner ID irgendwelche Zugriffe erzeugt hat:


--- Zitat --- in denen der Admin namentlich mit Lesezugriffen gelistet ist.
--- Ende Zitat ---

das passiert dann, wenn der Admin z.B. einen Agenten erstellt hat / einen Agenten mit seiner ID bearbeitet hat. Dann trägt dieser Agent seine Signatur und wenn er dann losläuft, werden die Zugriffe mit dem Namen des Admins protokolliert. Das Erstellen/Bearbeiten eines Agenten muss nicht zwangsläufig in böser Absicht geschehen sein.

Anzeichen für einen Agenten sind eine gewisse Regelmäßigkeit im Aktivitätenprotokoll.


--- Zitat ---Meiner Meinung nach kann man nicht so viele Mails in so kurzer Zeit lesen, wenn man wirklich die Absicht hat Mails zu lesen.
--- Ende Zitat ---

Genau, die Häufigkeit / Frequenz der Zugriffe spricht für einen maschinellen Zugriff.


--- Zitat ---Der Admin behauptet keine Mails gelesen zu haben.
--- Ende Zitat ---
Es gilt die Unschuldsvermutung.


Es gibt natürlich Möglichkeiten, euer System zu untersuchen; ich arbeite bei einem Dienstleister und mache daher auch keinen Hehl daraus, daß wir gegen Einwurf einer Anzahl Münzen gerne behilflich sind.

Um die Ursache für die Zugriffe evtl. eingrenzen zu können, würde ich einmal folgendes machen:

In der Zugriffskontrollliste der Datenbank ( ACL ) ist der Admin entweder namentlich oder als Gruppe ( LocalDomainAdmins) eingetragen.
Diese Einträge sollten einmal auf NoAccess gesetzt werden. Damit kann der Admin dann nicht mehr auf die Datenbank zugreifen.

Auch DEFAULT und Anonymous sollten generell auf NoAccess gesetzt werden.

Wenn sich noch weitere Personengruppen in der ACL befinden muss geprüft werden, ob der Admin Mitglied in einer dieser Gruppen ist.

Für den Test können auch diese Gruppen auf NoAccess gesetzt werden.

Letztendlich darf nur noch der Eigentümer der Datenbank und der Server Zugriff haben.

Wenn es sich wirklich um einen Agenten handelt, dann wird man das spätestens dann an der Console des Servers sehen, wenn er losläuft und mangels Zugriffsberechtigung einen Fehler wirft.

Diese Änderungen haben keinen Einfluss auf die Funktionsweise der Maildatei. Diese Dinge können auch von deinem Admin erledigt werden. Macht das zusammen und protokolliert euer Vorgehen. Das ist gut für Dich und auch für den Admin hat es eine selbst schützende Wirkung. Ich weiß natürlich nicht, wie das interne Verhältnis auf Grund der Vorwürfe ist; aber das sollte man im Interesse aller Beteiligten hinbekommen.

MacSpudik:
Ich schließe mich Ulrich Krause an.
Der Unterschied zwischen Agenten und dem persönlichen Zugriff liegt vor allem in der Regelmäßigkeit (jeden Tag oder Stunde zur gleichen Uhrzeit), der Anzahl Dokumente und auch der Zeitpunkt (z.B. mitten in der Nacht).
Als Anwender kann man dies aber i.d.R. nur schwer auseinanderhalten und der Gedanke, dass hier jemand spioniert, liegt dann nahe.

Für mich als Admin ist aber eines grundlegend und besonders wichtig: Vertrauen!
Es verhält sich wie mit den eigenen Kindern, dem Partner oder einem Vorsitzenden einer Partei oder eines Vereins. Ohne Vertrauen funktioniert das System nicht. Natürlich kann man für einen bestimmten Zeitraum dem Admin die Rechte entziehen und bestmöglich beweisen, dass es Automatismen sind. Es muss aber die Ausnahme sein und bleiben.
Ein Admin, der das Vertrauen der Anwender/innen verloren hat und dem man langfristig die Rechte auf die Anwendungen entzieht, kann nur schwer arbeiten. Natürlich ist es möglich, auch ohne Rechte auf die Anwendungen zu administrieren. Das ist bei einigen Banken, Forschungsabteilungen usw. durchaus üblich, macht einem das Leben zwar etwas schwerer, aber gerade da zeigt sich, wer wirklich gut administrieren kann.
Was man aber bei aller Technik nicht ersetzen kann, ist das Vertrauen der Anwender. Das steht an erster Stelle.

schroederk:
Zudem müsste sich der Admin ziemlich sorglos angestellt haben, wenn man ihm tatsächlich Zugriff auf fremde DBs nachweisen könnte.
Vorausgesetzt der Admin hätte die kriminelle Absicht illegalerweise die Mails anderer Personen zu lesen, dann sollter theoretisch über genügend Grundwissen verfügen, wie man den Nachweis unglaublich erschweren kann.
Mal ganz davon abgesehen davon, dass er den persönlichen Zugriff auch innerhalb des Zeitraums automatischer Zugriffe verstecken könnte.
Ein tatsächlicher Beweis wird bei Euch wohl recht schwer zu finden sein, aber mich würde mal interessieren, wie der Verdacht überhaupt aufgekommen ist.
Hat sich jemand aus Neugier einfach mal die Zugriffe auf seine DB angeschaut und den Namen des Admins gefunden und hat dann direkt mit Verdächtigungen um sich geschossen?

eknori (retired):
Interessant, und auch im Hinblick auf die Zuverlässigkeit der aufgezeichneten Informationen.

Ich hämmere momentan mit meiner ID auf der Datenbank rum. Designänderungen, Dokumentenzugriffe , Löschungen ...
Im Aktivitätenprotokoll sehe ich aber nur meine beiden Server ... keine Spur von meiner Id...

MacSpudik:
Die Protokollierung der durchgeführten Aktionen kommen (glaube ich) erst etwas verzögert an.
Ich habe in der Vergangenheit immer mal wieder festgestellt, dass erfolgte Änderungen nicht auf die Minute auf die Aktivitätsprotokolleinträge passen, sondern erst mit ein wenig Latenz erscheinen.
Zudem erscheinen bei Clustern die Namen der "Übeltäter" nur auf dem Server, wo diese auch aktiv waren. Die Clusterpartner protokollieren die Änderungen mit dem entsprechenden Server, wo die Änderungen herkommen und dann auch nur dann, wenn die Änderungen bei ihnen erfolgen. Hier verwischt also leicht die Spur.

Navigation

[0] Themen-Index

[#] Nächste Seite

[*] Vorherige Sete