Regler for drift av egen datamaskin
Status: Godkjent av ledermøtet på IDI 2. november 2005.
Sammendrag
IDI stiller i dette dokumentet endel krav til de brukerne som ønsker å drive egen datamaskin og knytte den til IDIs nett. Kravene er hovedsaklig knyttet til sikkerhet, stabilitet, et ønske om oversiktighet, sporbarhet og behovet for at det ikke blir kollisjoner i ressurser.
Gjelder for
Denne policy gjelder for maskiner som er knyttet til IDIs datanett og der bruker selv driver datamaskinen helt eller delvis. Det gjelder ikke for maskiner som via trådløst eller andre forbindelser knytter seg via VPN til NTNUs sentrale nettverk, selv når disse brukes fra IDIs lokaler.
Målsetning
Vi ønsker at alle som knytter seg til innenfor IDIs datanett skal ha et minimum av sikkerhet, og vi skal kunne ha oversikt over hvilke maskiner som er knyttet til hvor på hvilke tidspunker.
Bakgrunn
Dette dokumentet er en konkretisering av, utfylling og tillegg til NTNUs IT-reglement. Ved IDI gir vi relativt stor frihet for både ansatte og studenter til å sette opp og drive sine egne maskiner. Det viser seg at maskiner ganske ofte tidvis være feil satt opp eller mangle essensielle oppdateringer, slik at de skaper problemer på nettet: f.eks. bruker uforholdsmessig stor båndbredde eller benyttes som mellomstasjon for sikkerhetsmessig innbrudd eller angrep.
Policy
Generelt forventes det at man følger alment aksepterte etiske og praktiske regler innenfor arbeidsliv og fagområde.
Patching
Maskiner bør til enhver tid være patchet opp til siste utgave av alle sikkerhetsrelaterte patcher, og O/S-et må være av en type og årgang slik at slike patcher kommer ut tilstrekkelig ofte og for alle vesentlige sikkerhetssvakheter. Dersom du forlater maskinen for lengre tid (uker/måneder), bør maskinen slås av eller tas av nett, med mindre du har sørget for at den oppdateres med sikkerhetsrelaterte patcher også mens du er borte.
Sikkerhetsovervåkning
Du plikter å holde deg generelt velorientert om sikkerhet innen det operativsystemet som kjører på maskinene du selv driver. Dette omfatter å jevnlig (ideelt sett daglig) holde øye med maskinen og dens logger, og du bør spesielt se til at den ikke er brutt inn på og at den ikke misbruker ressurser eller støyer på nettet. Alle bør aktivisere ett eller flere verktøy for å overvåke aktivitet eller detektere mulige problemer.
Brukerkonti
Du må ikke uten tillatelse fra drift gi tilgang til maskinen din for personer som normalt ikke ville hatt tilgang innenfor IDIs datanett. Alle brukerkonti skal sikres med passord med samme grad av sikkerhet som det som kreves på NTNUs generelle systemer, for å unngå at maskinen blir et bruhode for personer som ønsker å bryte seg inn hos IDI.
IP-adresse
aIP-adresse skal enten være hentet fra DHCP, eller det skal være reservert en fast IP-adresse for maskinen hos drift. Dette gjøres gjennom en henvendelse til nettverk@idi.ntnu.no. Når du ikke lengre trenger en fast IP-adresse, skal det gis tilbakemelding til drift om at den kan slettes. Ad hoc kapring av faste IP-adresser uten at det er koordinert med drift kan skape kollisjoner og problemer for andre bruker og blir ikke akseptert. Det er ikke lov å forfalske avsenders ethernett eller IP-adresse i pakker på nettet (spoofing).
Konfigurasjon av E-post
Dersom du setter opp E-posttjener på din maskin, skal du sørge for at all driftsrelatert E-post enten blir levert kun lokalt på den maskinen, eller til din egen E-postkonto ved IDI eller andre steder. Det er på det sterkeste ikke ønskelig at driftsrelatert E-post for din maskin blir sendt til f.eks. root eller postmaster ved domenet idi.ntnu.no - vi får mange nok feilmeldinger for våre egne maskiner, og har hverken nytte av å lese dine feilmeldinger eller generelt mulighet til å gjøre noe med det. Dette omfatter å konfigurere f.eks cron til å sende til din personlige bruker, og å konfigurere aliases på maskinen din. ITEA har stengt utgående trafikk på port 25 i grenseruter. Derfor vil du i praksis måtte sende utgående E-post via E-posttjener ved ITEA eller ved IDI.
Merking
Maskiner som er private eller personlig drevne og står koblet på datanett i IDIs lokaler, skal fysisk merkes på en lett synlig måte. De merkes med ansvarlig persons navn, E-postadresse, (mobil)telefonnummer og maskinens ethernett-adresse og IP-adresse (dersom det brukes fast IP, ellers merkes den med 'DHCP'). Dette gjelder ikke for bærbare og maskiner hvis ansvarsforhold er tydeliggjort ved at det står på en kontorplass. Maskiner som ikke drives av Teknisk gruppe og som ikke er tilstrekkelig merket (eller er feilmerket) etter disse reglene, vil kunne bli koblet av nett.
Merknader
- Ta kontakt med Teknisk gruppe dersom du vil ha hjelp til å sette opp eller å gå igjennom din maskin for å verifisere at den er satt opp etter disse reglene.