Komandada parol paylaşmaq: hosting və admin girişlərini necə qorumaq

Kiçik komandalarda hostinq panelinin, WordPress adminin və ya domen hesabının parolu çox vaxt WhatsApp qrupunda paylaşılır. Bu rahatdır, amma bir müddət sonra parolun kimlərdə olduğunu artıq heç kim bilmir. Qısa cavab: ümumi parol əvəzinə hər işçiyə ayrıca hesab verin, paylaşılması zəruri olan girişləri parol menecerində saxlayın, 2FA açın və işdən çıxan işçinin girişlərini həmin gün bağlayın.

Parolu mesajlaşma tətbiqində göndərməyin riskləri

WhatsApp və Telegram mesajları ötürülmə zamanı şifrələnə bilər, problem başqa yerdədir:

• Mesaj telefonda, kompüterdəki tətbiqdə və ehtiyat nüsxələrdə illərlə qalır.
• Telefon itəndə və ya başqasının əlinə keçəndə bütün parollar da gedir.
• Telegram qruplarında yeni üzv ayarlardan asılı olaraq köhnə yazışmaları görə bilir.
• İşdən çıxan işçinin telefonunda parollar qalır, siz isə hansı parolları dəyişmək lazım olduğunu bilmirsiniz.
• Kimsə "mən yeni işçiyəm, panelin parolunu at" yazanda, yazışmada parol göndərmək vərdiş olduğu üçün şübhə yaranmır.

Sonuncu ssenari sosial mühəndisliyin klassik formasıdır. Bu barədə ətraflı işçiləri fişinq və saxta məktublardan qorumaq yazısında danışmışıq.

Əsas prinsip: ümumi hesab yox, hər işçiyə ayrıca giriş

Ən təhlükəsiz parol heç paylaşılmayan paroldur. Əksər sistemlər bir neçə istifadəçiyə imkan verir:

• WordPress: hər işçiyə öz istifadəçisi və uyğun rol (Administrator, Redaktor, Müəllif). Məzmun yazan şəxsə administrator hüququ lazım deyil.
• cPanel: fayl yükləyən dizayner üçün yalnız öz qovluğuna çıxışı olan ayrıca FTP hesabı, hər işçiyə ayrıca e-poçt qutusu.
• Server (VPS): hər administratora öz Linux istifadəçisi və SSH açarı, root ilə birbaşa giriş yox.
• Domen və hostinq müştəri paneli: bu hesab şirkət rəhbərində və ya bir məsul şəxsdə qalsın, mümkün qədər az adam bilsin.

Ayrıca hesabın üstünlüyü: kimin nə etdiyini jurnallarda görürsünüz və işçi gedəndə yalnız onun hesabını bağlayırsınız, qalan hamının parolunu dəyişmək lazım gəlmir.

Parol meneceri: paylaşılması zəruri olan girişlər üçün

Bəzi girişləri (sosial şəbəkə hesabı, reklam kabineti, xarici xidmət) şəxslərə bölmək olmur. Bunlar üçün komanda funksiyası olan parol meneceri istifadə edin. Bitwarden, 1Password kimi tanınmış həllər paylaşılan qovluqlar, giriş hüquqları və dəyişiklik tarixçəsi təklif edir.

1. Şirkət üçün təşkilat hesabı açın, sahibi rəhbər olsun.
2. Girişləri qruplara bölün: "Sayt", "Marketinq", "Mühasibat".
3. Hər işçiyə yalnız işi üçün lazım olan qovluğa çıxış verin.
4. Parol menecerinin özündə 2FA mütləq açıq olsun, master parol heç yerdə yazılmasın.
5. Paylaşılan parolları menecerin generatoru ilə uzun və təsadüfi yaradın.

Güclü parolun necə olması barədə güclü şifrə yaratmaq və yadda saxlamaq yazısına, cPanel hesabının özü üçün isə cPanel parol qoruması təlimatına baxın.

2FA: parol oğurlansa belə

İki faktorlu autentifikasiya ikinci qoruma qatıdır. Hostinq paneli, domen hesabı, e-poçt, WordPress admin və parol meneceri üçün 2FA açın. SMS əvəzinə autentifikator tətbiqi (Google Authenticator, Microsoft Authenticator və s.) daha etibarlıdır.

Ümumi hesabda 2FA kodu bir nəfərin telefonuna bağlıdırsa, həmin telefon darboğaza çevrilir: o adam məzuniyyətdədirsə, heç kim daxil ola bilmir. Bu, ayrıca hesabların üstünlüyünü bir daha göstərir. Ehtiyat (bərpa) kodlarını isə çap edib seyfdə və ya parol menecerində saxlayın.

Serverlər üçün SSH açarları

VPS-də root parolunu komandaya paylamaq əvəzinə hər administrator öz açar cütünü yaradır və sizə yalnız açıq açarını (public key) verir. Gizli açar heç vaxt onun kompüterindən çıxmır.

# İşçinin öz kompüterində
ssh-keygen -t ed25519 -C "ali@sirket.az"
# Serverdə ayrıca istifadəçi yaradın və sudo hüququ verin
sudo adduser ali
sudo usermod -aG sudo ali
# Açıq açarı serverə əlavə edin (işçinin kompüterindən)
ssh-copy-id -i ~/.ssh/id_ed25519.pub ali@SERVER_IP

Hamı açarla daxil olandan sonra parolla girişi bağlayın. Ubuntu 24.04-də /etc/ssh/sshd_config.d/ qovluğundakı fayllar əsas konfiqurasiyadan əvvəl oxunur və ilk tapılan dəyər qüvvədə olur, ona görə ayarı həmin qovluqda ayrıca faylda yazın və yekun dəyəri yoxlayın:

echo "PasswordAuthentication no" | sudo tee /etc/ssh/sshd_config.d/01-parolsuz.conf
sudo sshd -T | grep -i passwordauthentication
sudo systemctl restart ssh

Dəyişiklikdən əvvəl ikinci terminal pəncərəsində açıq sessiya saxlayın ki, səhv olsa serverə çıxışı itirməyəsiniz.

İşçi işdən çıxanda: giriş bağlama siyahısı

Bu prosesi əvvəlcədən yazılı siyahı kimi hazırlayın ki, son gün tələsikdə nəsə unudulmasın:

1. WordPress, CRM və digər sistemlərdə onun istifadəçisini bağlayın (məzmununu başqa istifadəçiyə köçürərək).
2. Parol menecerində onu təşkilatdan çıxarın və çıxışı olduğu paylaşılan parolları dəyişin.
3. Serverdə hesabını kilidləyin və açarını silin.
4. Korporativ e-poçt qutusunu dərhal silmək əvəzinə parolunu dəyişin və məktubları məsul şəxsə yönləndirin ki, müştəri yazışmaları itməsin.
5. Domen, hostinq və bank kabinetlərində əlaqə məlumatlarında onun telefonu və ya e-poçtu qalmadığını yoxlayın.

sudo usermod --lock --expiredate 1 ali
sudo pkill -KILL -u ali

Birinci əmr hesabı kilidləyir və müddətini bitirir (bu, SSH açarı ilə girişi də dayandırır), ikincisi açıq sessiyaları bağlayır. Hesabı tam silmək lazımdırsa, əvvəlcə ev qovluğunun nüsxəsini götürün.

Bəzən insident girişlərlə yox, məktublarda açıq qalan məlumatla başlayır: imzadakı şəxsi nömrə, daxili sistemlərə linklər. Peşəkar e-poçt imzasında nə yazmaq və nə yazmamaq lazım olduğunu da nəzərdən keçirin.

Tez-tez verilən suallar

Parol menecerinin özü sındırılsa nə olar?

Tanınmış parol menecerləri məlumatı cihazda şifrələyir, serverdə yalnız şifrələnmiş forma saxlanır. Əsas risk zəif master paroldur, buna görə uzun master parol və 2FA vacibdir.

Kiçik komanda (3-5 nəfər) üçün də bu lazımdırmı?

Bəli. Kiçik komandalarda adətən bir nəfər bütün girişləri bilir və o gedəndə problem yaranır. Parol menecerlərinin kiçik komandalar üçün sadə planları kifayət edir.

Parolları müntəzəm dəyişmək lazımdırmı?

Güclü və unikal parolu səbəbsiz tez-tez dəyişmək əlavə fayda vermir. Amma sızma şübhəsi olanda və işçi işdən çıxanda dəyişmək mütləqdir.

Uptime ilə parol təhlükəsizliyinin nə əlaqəsi var?

Oğurlanmış admin girişi saytın sınmasına və ya silinməsinə səbəb ola bilər. Bu, provayderin serveri işləsə belə sizin üçün dayanma deməkdir. Bu barədə 99.9% uptime zəmanətinin real hesablaması yazısında da danışmışıq.

Girişlərə nəzarət bir dəfəlik iş deyil, komanda böyüdükcə yenidən baxılmalıdır. Şirkətinizin girişlərini, serverlərini və e-poçtunu peşəkar yoxlatmaq istəyirsinizsə, Hostinq.az-ın audit və monitorinq daxil olan kibertəhlükəsizlik xidmətinə baxın.