Bundesamt für Sicherheit in der Informationstechnik

M 4.17 Sperren und Löschen nicht benötigter Accounts und Terminals

Verantwortlich für Initiierung: IT-Sicherheitsbeauftragter, Leiter IT

Verantwortlich für Umsetzung: Administrator

Accounts, die über einen längeren Zeitraum nicht benutzt werden, sollten gesperrt und später gelöscht werden. Wenn beim Löschen von Accounts Dateien übrig bleiben, die keinem existierenden Benutzereintrag mehr zugeordnet sind, besteht die Gefahr, dass diese Dateien später eingerichteten Benutzern unberechtigt zugeordnet werden.

Beim Entfernen von Benutzern sind unter Unix die entsprechenden Einträge in /etc/passwd, /etc/group und das Heimatverzeichnis des Benutzers zu löschen. Ebenso ist darauf zu achten, dass weitere Benutzereinträge in Dateien wie /etc/hosts, shadow, u. a. gelöscht werden. Die Daten des Heimatverzeichnisses sollten vorher gesichert werden. Bei der Sperrung bzw. auf jeden Fall vor dem Löschen eines Accounts sollte der betroffene Benutzer informiert werden. Beim Löschen von Accounts ist darauf zu achten, dass auch die Dateien des Benutzers gefunden werden, die nicht in seinem Heimatverzeichnis liegen. Dies kann z. B. mit dem Programm find und der Option -uid erfolgen. Solche Dateien müssen gelöscht oder anderen Benutzern zugeordnet werden. Weiterhin ist darauf zu achten, dass laufende Prozesse und noch anstehende Aufträge gelöscht werden, z. B. unter Unix in der crontab.

Ebenso sollten Terminals, die über einen längeren Zeitraum nicht benutzt werden, gesperrt und später entfernt werden.

Unter Unix sind vom System vorgegebene Logins (z. B. sys, bin, adm, uucp, nuucp, daemon und lp), die nicht benötigt werden, zu sperren, indem in das zugehörige Passwortfeld in der Datei /etc/passwd z. B. "LOCKED" eingetragen wird.

Wenn ein neu einzurichtender Benutzer seinen Account nur für einen begrenzten Zeitraum benötigt, sollte dieser nur befristet eingerichtet werden.

Es kann vorteilhaft sein, Accounts grundsätzlich nur befristet einzurichten und in regelmäßigen Abständen (z. B. jährlich) bei Bedarf zu verlängern.

Ist absehbar, dass ein Benutzer eines lokalen Netzes längere Zeit abwesend ist (Urlaub, Krankheit, Abordnung, ...), so sollte sein Account für diese Zeit im Netz-Server gesperrt werden, so dass das Arbeiten unter seiner Benutzer-Kennung für diese Zeit nicht mehr möglich ist. Jeder Benutzer sollte dem Netzadministrator Zeiten längerer Abwesenheit mitteilen.

Prüffragen:

  • Existieren Reglungen zum Identifizieren, Löschen und Sperren von befristet unbenutzten bzw. nicht mehr benötigten Accounts?

  • Existiert eine Regelung, um alle Dateien und Verzeichnisse gesperrter und gelöschter Accounts anderen Benutzern zuzuordnen oder zu löschen?

  • Existiert eine Regelung zur zeitlichen Befristung von Accounts und Zugangsmerkmalen?

Stand: 13. EL Stand 2013

Hinweis zur Verwendung von Cookies

Um unsere Webseite für Sie optimal zu gestalten und fortlaufend verbessern zu können, verwenden wir Cookies. Durch die weitere Nutzung der Webseite stimmen Sie der Verwendung von Cookies zu. Weitere Informationen hierzu erhalten Sie in unserer Datenschutzerklärung.

OK