IT经理正在离开 – 我该如何locking？

显然，物理安全需要解决，但之后…

假设你没有一个文件化的程序，当雇员离开（环境通用，因为你没有提到你运行的平​​台）：

1. 从外围安全开始。 更改路由器，防火墙，vpn等任何外围设备上的所有密码…然后lockingIT经理拥有的任何帐户，并查看所有不再使用的帐户的剩余帐户，不属于（如果他加了一个辅助）。
2. 电子邮件 – 根据您的公司政策，删除他的帐户或至less禁用login。
3. 然后通过你的主机安全。 所有机器和目录服务应该禁用和/或删除其帐户。 （删除是首选，但你可能需要审核他们，如果他有什么运行，有效的下他们第一）。 再次检查任何不再使用的帐户，以及不属于的帐户。 禁用/删除这些。 如果您使用ssh密钥，则应该在admin / root帐户上更改它们。
4. 共享帐户（如果有的话）都应该更改其密码。 一般情况下，您还应该查看删除共享帐户或禁用其上的交互式login。
5. 应用程序帐户…不要忘记更改密码，或者从他们有权访问的所有应用程序中禁用/删除帐户，从pipe理员访问帐户开始。
6. logging日志…确保您的帐户使用情况良好，并密切监视，以查找任何可疑活动。
7. 备份…确保您的备份是最新的，安全的（最好是异地）。 确保您的备份系统与帐户一样。
8. 文件…尽可能地尽可能地识别，如果可能请求他，并复制到安全的地方，他的所有文件。
9. 如果您有任何外包服务（电子邮件，垃圾邮件过滤，托pipe任何types等），请确保完成以上所有适合这些服务的服务。

当你完成所有这些工作时， logging下来 ，以便你有一个适合将来终止的程序。

另外，如果您使用任何托pipe服务，请确保将其名称从访问列表和票据提交列表中删除。 对于任何其他供应商来说，这样做是明智的，因为他是主要的人员，所以他不能取消或混淆来自这些供应商的服务，还要让供应商知道联系谁进行续订，问题等等，当IT经理不logging文件时，这可以节省一些头痛的问题。

我相信我错过了更多的东西，但那已经不在我的头上了。

不要忘记物理安全 – 确保他无法进入任何build筑物 – 很棒的是，你遍布networking套件，但是如果他能够到达数据中心，这是毫无意义的。

我们怀疑仍然处于通知期的心怀不满的员工可能已经安装了一些远程访问程序，所以我们将他的login帐户限制在工作时间内，以便在没有人的时候， （在工作时间，如果我们早就知道这个恶作剧，我们可以清楚地看到他的屏幕）。

结果是有价值的，他已经安装了LogMeIn，并且实际上尝试了下class后访问。

（这是一个小公司networking，没有ACL或花哨的防火墙）

也要小心不要太过于locking。 我记得有人离开的情况，一天之后，很明显一些商业关键软件实际上是在他的个人用户帐户下运行的。

只是要添加 – 也要确保你已经审核失败和成功的login – 一堆帐户的失败，其次是成功可能相当于黑客攻击。 如果IT经理参与了密码设置，您也可以让其他人更改密码。 不要忘记数据库密码，您可能需要清理他/她的电子邮件帐户以获取安全信息。 我还会对任何机密信息/数据库进行访问检查，并且不允许他/她执行系统/数据库备份。

希望这可以帮助。

在你让这个人去之前，也要确保事物能够并且将会下降，或者是有问题的，直到你replace那个人。 我希望你们不要因为你们假设/知道这些事情不是一种好的方式，或者认为他们因为马桶溢出而骇人你们，而不去责怪他们。

希望这种情况听起来很荒谬。 但是，从我上一份工作来看，这真是一个真实的故事，现在老板正试图起诉我进行破坏活动（主要是因为我退出了，他们不愿意用任何人的市场费来代替我）和networking犯罪，比如黑客攻击互联网敲诈。

底线是，评估“为什么”他们被解雇的原因。 如果除了经济需求以外，我build议您优化招聘程序，以便雇用更专业的人员，在职业上，他们需要可靠和值得信赖的业务任务关键，通常是机密信息，谁可以正确安装每个人都必须遵守的安全程序。

你面试的一个方法就是他们面试你和你的企业作为回报。 责任（正如公司认为如果出现问题，IT经理可能被认为是错误的 – 通常会在合同中），整体networking安全是任何合适的IT经理/首席技术官头脑中最重要的事情之一进行面试。

更改所有pipe理员密码（服务器，路由器，交换机，远程访问，防火墙）为IT经理远程访问移除所有防火墙规则。 如果您正在使用安全令牌，请将IT经理的令牌与所有访问权限解除关联。 删除TACACS访问（如果你使用这个）。

请确保与会议室的IT经理进行这些更改或以其他方式进行物理控制，因此他/她无法观察过程。 当在键盘上input密码时，读取密码是不平凡的（不难，只是不重要），如果需要重复这个密码，收集密码的风险更高。

如果可能的话，改变locking。 如果密钥可以复制（简而言之，他们可以），这将阻止IT经理获得物理访问。 禁用任何您不能记账的通行卡（不仅仅是您认识的卡已经发给了IT经理）。

如果您有多个传入电话线，请检查所有电话线，确保没有未知设备连接到它们。

检查防火墙策略
更改pipe理员密码并检查不再使用的帐户。
撤销他/她的证书
备份他/她的工作站并对其进行格式化。
对服务器上的重要文件使用校验和控件，并将IDS放置到机架上的跨接端口上。

只是我的2cts。

检查额外的帐户。 一旦他知道他要离开，他可以轻松添加一个新帐户。 甚至在他到达之后。

这取决于你是多么的偏执。 有些人甚至在很大程度上取代了所有的钥匙和锁。 另一个对系统pipe理员很好的理由;）

所有上述的build议都是很好的 – 另外一个可能是让所有的用户改变他们的密码（如果是Windows）来执行复杂的密码策略。

另外 – 如果你曾经做过远程支持，或者设置一个远程办公室/客户端（即另一个站点） – 让他们也改变他们的密码。

不要忘了公司代表他所有的外联网账户。 这些往往被忽视，往往是事后非常悲痛的原因。

可能（沿着“我是超偏执”的轨道）也想通知你的销售代表，以便与他们一起工作的不同供应商，以防他试图联系那里的某个人。

如果他有任何控制你的公司networking托pipe，

• 重新检查通过网页的所有访问path
• 获取所有可能的后门validation码

这方面的弱点可能会影响您的托pipe方式，

• 笼统托pipe与行政控制 – 至less，一个污损的网站的可能性
• 从您的场所进行本地托pipe – 访问内部networking（除非您拥有一个也被locking的DMZ）

我的公司让一个开发人员不久前，这是一个类似的情况。 他知道这个制度的很大一部分，确保在第二个被告知被解雇的情况下被切断了，这是非常重要的。 除了上面给出的build议，我还用Specter Pro来监控他离开前两周的所有工作：networking活动（IO），聊天窗口，电子邮件，截图每2分钟一次等。这可能是矫枉过正，我从来没有甚至看着它，因为他离开了很好的条件。 这是很好的保险，但。

要立即pipe理的两个关键是：

1. 物理访问 – 如果你有一个电子系统，撤销他的卡。 如果你的锁都是实体的，要么确保发给他的任何密钥都被返回，要么你确实担心恶作剧，把锁改为关键区域。

2. 远程访问 – 确保禁用此pipe理员的VPN / Citrix /其他远程访问帐户。 希望你不允许远程login共享帐户; 如果是，请更改所有密码。 另外一定要禁用他的AD / NIS / LDAP帐户。

然而这只是涵盖了显而易见的; 总有这样的可能性，例如他已经在服务器机房中安装了几个调制解调器，并将控制台电缆连接到关键的networking设备/服务器中。 一旦你完成了初始locking，你可能希望他的replace完全扫描基础设施，以A）确保文档是最新的和B）突出显示奇怪的东西。

在之前在一家小公司工作的时候，系统pipe理员被放开了，知道很多其他员工的密码。 早上他放手了，我们在任何有远程访问的Active Directory帐户上设置“用户必须更改密码”属性。

这可能在各地都不可行，但可能是谨慎的，视情况而定。

我会推荐以下程序：

• 禁用所有build筑安全访问卡
• 禁用所有已知的帐户（尤其是可以从公司外部使用的VPN和帐户）
• 禁用未知帐户（！）
• 更改所有pipe理员密码
• 查看防火墙规则

这应该涵盖大部分可能的访问选项。 在接下来的几周内检查所有安全相关信息，以确保没有任何选项被“开放”。

让所有的员工知道这个员工正在离开，这样他们就会受到电话社交黑客的攻击。

他已经知道这个系统是如何工作的，那里有什么。 所以他不需要太多的信息，以便如果他想要回来。

如果我在不太理想的情况下离开白天，我相信我可以不时地打电话给工作人员，而且要find足够的信息才能回到系统中。

也许我会给现有的域用户pipe理员权限（在离开之前）。 我可以打电话给这个用户，让他/她向我透露密码。

• 在Active Directory中禁用其用户帐户。 检查IT经理可能知道其密码并更改或禁用它们的任何其他帐户。
• 禁用任何不属于Active Directory的其他帐户，因为它们位于不同的计算机上或因为它们是内部编写的。 让合法用户更改密码。 （至今我仍然可以以pipe理员身份login到其他员工的帐户。）
• 如果您的公司网站位于build筑物外部，请更改密码。
• 对于心怀不满的员工来说，取消您的互联网和/或电话服务可能也是相当微不足道的。 不知道如何防守，虽然。
• 更改locking和报警代码。 闯入可能被忽视的时间足够长，以至于他们偷走了所有的东西。

唯一的办法是在服务器的情况下是完全安全的，就像你确保被黑盒子是干净的：重新安装。 由于木偶 （或其他configurationpipe理系统），重新安装服务器并使其达到特定状态可以非常快速和自动化。