Стоит ли иметь интерактивные баннеры для входа в систему?
По общему мнению, это так, но что должен сказать баннер?
Некоторые вещи, которые сейчас рассматриваются (без определенного порядка):
Из Судебное преследование за компьютерные преступления, публикация Министерства юстиции США:
Лучшие практики реагирования и сообщения о жертвах
A. Действия перед противодействием вторжению
Рассмотрите возможность использования баннеров. Мониторинг атак в реальном времени обычно является законным, если все пользователи заранее уведомлены о таком мониторинге. По этой причине организациям следует рассмотреть возможность развертывания письменных предупреждений или «баннеров» на портах, через которые злоумышленник может получить доступ к системе организации и на которых организация может попытаться отслеживать коммуникации и трафик злоумышленника. Если баннер уже установлен, его следует периодически проверять, чтобы убедиться, что он соответствует типу потенциального мониторинга, который может быть использован в ответ на кибератаку. Более подробную информацию по этой теме можно найти на сайте CCIPS по адресу http://www.cybercrime.gov.
Кроме того, вот несколько примеров языка NETWORK BANNER, рекомендованного USDOJ, и объяснения их функций из Обыск и изъятие компьютеров и получение электронных доказательств в уголовных расследованиях, также Министерством юстиции США:
ПРИЛОЖЕНИЕ А. Пример языка сетевых баннеров
Сетевые баннеры - это электронные сообщения, содержащие Уведомление о законных правах пользователей компьютерных сетей. С юридической точки зрения баннеры выполняют четыре основные функции. Во-первых, баннеры могут использоваться для получения согласия на мониторинг в реальном времени в соответствии с Разделом III. Во-вторых, баннеры могут использоваться для получения согласия на поиск сохраненных файлов и записей в соответствии с ECPA. В-третьих, в случае правительственных сетей баннеры могут исключить любое «разумное ожидание конфиденциальности» Четвертой поправки, которое государственные служащие или другие пользователи могли бы сохранить при использовании правительственной сети в противном случае в соответствии с O'Connor v. Ortega, 480 US 709 (1987) ). В-четвертых, в случае негосударственной сети баннеры могут указывать на «общие полномочия» системного администратора, дающие согласие на поиск правоохранительными органами в соответствии с делом United States v. Matlock, 415 U.S. 164 (1974).
Это определенно юридический вопрос, который нельзя упускать из виду. Скорее всего, вам СЛЕДУЕТ проконсультироваться со своим юридическим отделом (если он у вас есть) или соответствующими лицами, принимающими решения. Кроме того, все, что реализовано в баннерах, то, что говорится о внутреннем и внешнем, вероятно, не должно дублироваться с уже согласованными политиками использования сети (вероятно, не нужно постоянно предупреждать людей о том, что они уже согласовали)
Поговорите со своими юридическими лицами, не технические специалисты должны решать, что в него входит, это вопрос политики, а не технический. В зависимости от того, в какой стране вы находитесь, правительственные рекомендации будут касаться местных законов об использовании компьютеров.
Это действительно зависит от того, кто входит в систему и почему. Если вы запускаете сервер для предоставления учетных записей оболочки, вам, вероятно, понадобится довольно сильный интерактивный баннер для входа в систему, чтобы напоминать людям не запускать спам-боты. С другой стороны, если к вашим серверам имеют доступ только другие члены вашей операционной группы, которых всего 8, вам, вероятно, не нужен баннер. На самом деле это сводится к вопросу политики, потому что баннер не будет иметь заметного значения в поведении и не действует во многих юридических местах.
Вот что мы используем:
-----------------------------------------------------------------
Warning: This system is restricted to ABC Company
authorized users for business purposes only. Unauthorized access
or use is a violation of company policy and the law. This system
may be monitored for administrative and security reasons. By
proceeding, you acknowledge that (1) you have read and understand
this notice and (2) you consent to the system monitoring.
-----------------------------------------------------------------
Просто что-то вроде «использование этого ресурса регулируется условиями нашего AUP» должно быть всем, что вам нужно; не нужно писать об этом эссе. Затем юристы и специалисты по персоналу могут поместить свои данные в AUP.
Вы должны убедиться, что у всех есть бумажная копия AUP, прежде чем входить в систему. IANAL, но я бы почувствовал запах крысы, если бы вы просили пользователей согласиться с тем, что они еще даже не читали.
Мои баннеры для входа в систему просто говорят. «Все регистрируется, так что не ломайте дерьмо», но я почти единственный специалист, который использует ssh на наших серверах.
На мой взгляд, это еще один элемент CYA, которого вы, похоже, не можете насытиться в наши дни .... Не создавайте баннер перед входом в систему, который включает в себя какое-либо заявление «Добро пожаловать в ...».