Contas e autenticação

Uso da verificação em duas etapas com o Servidor de Administração

O Kaspersky Security Center Linux fornece verificação em duas etapas para os usuários do Kaspersky Security Center Web Console de acordo com o padrão RFC 6238 (TOTP: Algoritmo de Senha Avulsa por Tempo Limitado).

Quando a verificação em duas etapas é ativada para a sua própria conta, toda vez que você efetua login no Kaspersky Security Center Web Console, deve inserir seu nome de usuário, senha e um código de segurança único adicional. Para receber um código de segurança de uso único, é necessário possuir um aplicativo autenticador instalado no computador ou dispositivo móvel.

Existem autenticadores de software e hardware (tokens) que são compatíveis com o padrão RFC 6238. Por exemplo, autenticadores de software incluem o Google Authenticator, Microsoft Authenticator, FreeOTP.

Não recomendamos instalar o aplicativo autenticador no mesmo dispositivo a partir do qual a conexão com o Servidor de Administração é estabelecida. É possível instalar um aplicativo autenticador no seu dispositivo móvel.

Uso da autenticação de dois fatores para um sistema operacional

Recomendamos o uso de autenticação multifator (MFA) para autenticação no dispositivo do Servidor de Administração com o uso de um token, um cartão inteligente ou outro método (caso seja possível).

Proibição para salvar a senha do administrador

Caso Kaspersky Security Center Web Console seja usado, não recomendamos salvar a senha do administrador no navegador instalado no dispositivo do usuário.

Autenticação de uma conta de usuário interna

Por padrão, a senha de uma conta de usuário interna do Servidor de Administração deve seguir as seguintes regras:

• A senha deve ter de 8 a 16 caracteres.

• A senha deve conter caracteres de pelo menos três dos grupos listados abaixo:

  • Letras maiúsculas (A-Z)

  • Letras minúsculas (a-z)

  • Números (0-9)

  • Caracteres especiais (@ # $ % ^ & * - _ ! + = [ ] { } | : ' , . ? / \ ` ~ " ( ) ;)

• A senha não deve conter nenhum espaço em branco, caracteres Unicode ou a combinação dos caracteres "." e "@", quando "." estiver colocado antes de "@".

Por padrão, o número máximo permitido de tentativas de entrada da senha é 10. É possível alterar o número permitido de tentativas de inserção de senha.

O usuário do Kaspersky Security Center Linux pode inserir uma senha inválida um número limitado de vezes. Depois que o limite é atingido, a conta de usuário é bloqueada por uma hora.

Grupo de administração dedicado para Servidor de Administração

Recomendamos criar um grupo de administração dedicado para o Servidor de Administração. Conceda direitos de acesso especiais para esse grupo e crie uma política de segurança especial para ele.

Para evitar diminuir intencionalmente o nível de segurança do Servidor de Administração, recomendamos restringir a lista de contas que podem gerenciar o grupo de administração dedicado.

Restrição da atribuição da função de Administrador principal

O usuário criado pelo utilitário kladduser recebe a função de Administrador principal na lista de controle de acesso (ACL) do Servidor de Administração. Recomendamos evitar a atribuição da função de Administrador principal a um grande número de usuários.

Configuração de direitos de acesso aos recursos do aplicativo

Recomendamos usar a configuração flexível de direitos de acesso aos recursos do Kaspersky Security Center Linux para cada usuário ou grupo de usuários.

O controle de acesso baseado em função permite a criação de funções de usuário padrão com um conjunto predefinido de direitos e atribuição dessas funções aos usuários dependendo do seu escopo de obrigações.

As principais vantagens do modelo de controle de acesso baseado em função:

• Facilidade de administração
• Hierarquia de função
• Abordagem de privilégio mínimo
• Segregação de deveres

É possível atribuir funções internas a determinados profissionais de acordo com suas posições ou criar funções completamente novas.

Ao configurar as funções, observe os privilégios associados com a alteração do estado de proteção do dispositivo do Servidor de Administração e com a instalação remota de software de terceiros:

• Gerenciamento de grupos de administração.
• Operações com o Servidor de Administração.
• Instalação remota.
• Alteração dos parâmetros para armazenamento de eventos e envio de notificações.

  Esse privilégio permite definir as notificações que executam um script ou um módulo executável no dispositivo do Servidor de Administração quando um evento ocorrer.

Conta separada para instalação remota de aplicativos

Além da diferenciação básica de direitos de acesso, recomendamos restringir a instalação remota de aplicativos para todas as contas (exceto para o administrador principal ou outra conta especializada).

Recomendamos o uso de uma conta separada para instalação remota de aplicativos. É possível atribuir um papel ou permissões para a conta separada.

Auditoria regular de todos os usuários

Recomendamos conduzir uma auditoria regular de todos os usuários no dispositivo do Servidor de Administração. Isso permite responder a certos tipos de ameaças de segurança associadas ao possível comprometimento do dispositivo.