Til stede
- Alexander Hjelton Kvam
- Espen Grøndahl
- Francis Augusto Medeiro-Logeay
- Anders Vinger
- Tor Fuglerud
- Kim Roark Kristensen
- Øyvin Wormnæs
Sak 1: Database tilgang for Macdrift
Bakgrunn:
SAM-agenten for macOS kan ikke innhente informasjon om tilknyttet bruker på maskinen. Vi er derfor avhengig av en enkel integrasjon for Workspace ONE for å legge denne informasjonen inn i SAM databasen.
- Upersonlig bruker for integrasjon opprettet
- Database-drift lagt brukeren til i SAM databasen
- Kun lese og skrive tilgang til et eget table
- Script skrevet for å hente data fra WS1 via API, og skrive til SAM
Script kjøres på Macdrift sine pakkebygging og automatisering (Jenkins) servere.
- Mac-pod01 - 129.240.15.174
- Mac-pod03 - 129.240.118.119
Disse serverne trenger tilgang til SAM database serveren.
- dbms-fnms-p01 - 129.240.53.59
RT sak opprettet til IT-sikkerhet for at vi trenger en åpning:
https://rt.uio.no/Ticket/Display.html?id=4191853
Oppfølging:
- Det er ingen sperrer på ACL som skal hindre serverne å kommunisere med databaseserveren.
- Sperre ligger sannsynligvis i lokal firewall eller i connector på mssql databasen
- IT-sikkerhet ser ikke at det er nødvendig med noen spesifikk godkjenning fra de eller at det er noe som krever unntak.
- Følger opp med db-drift og evt. få spesifisert nøyaktig hva det er som krever godkjenning fra IT-sikkerhet.
Sak 2: Avklaring SAM-agent
Bakgrunn:
Alle klienter får en agent installert for å samle inn data om installerte applikasjoner og bruksdata. Avklaring av hvordan agenten opererer og hva slags data den samler inn.
Oppfølging:
- Det trengs en formålserklæring og hjemmelsvurdering for hva systemet skal brukes til
- Oversikt over all programvare på UiO
- Lisensoversikt med kontroll på under- og overlisensiering. Overholde kontrakter overfor leverandører
- Sikkerhetsaspekt med å få oversikt over utdatert programvare som ikke bør være installert lenger
- Få informasjon om programvare som er i bruk og kjøpt inn på UiO i en slik grad at det kan være kostnadsbesparende å sentralisere innkjøp og administrasjon
- Fange opp bruk av forskjellig programvare som gjør mer eller mindre det samme og enes om en anbefalt variant. Vil lønne seg lisens- og driftsmessig.
- Muligens fange opp ulisensiert/ulovlig programvare
- Det er et utgangspunkt at det kun er klienter som kjører agenten
- Et par aspekter skaper sikkerhetsbekymringer og følges opp internt og sammen med Flexera/SoftwareOne
- Agenten har mulighet til å kjøre custom script, dette må sperres i en eller annen form
- Forsikre at bruker ikke får mulighet til å kjøre ting som administrator uten sikring via agenten (ettersom agenten kjører som LocalSystem/root)
- Hvilke brukere har tilgang til å kjøre de eksekverbare filene?
Sak 3: App Portal SCCM-integrasjon
Bakgrunn:
Flexera App Portal skal knyttes opp mot SCCM. Den er avhengig av en webservice er installert på SCCM med administrator rettigheter.
Det har tatt tid å få avklart om det er mulig å begrense tilgangene til et nivå som er akseptabelt for oss.
Oppfølging:
- Hvis det kan implementeres som angitt ser det greit ut
- Avklare om det vil gi tilgang til å endre på applikasjons pakker i SCCM. I så tilfelle må det opprettes egne pakker for programvare som benyttes på både klienter og servere. F.eks. Sysmon.
Sak 4: Office 365 integrasjon
Bakgrunn:
En Office 365 integrasjon skal hjelpe til med bedre oversikt over lisensiering og bruk av lisenser, samtidig gjøre det lettere å se om man er under- eller overlisensiert.
Trenger å avklare eventuelle sikkerhetsbekymringer før vi implementerer.
Microsoft Office 365 integrasjon
Oppfølging:
Skytjenester vil være et område hvor det er mulighet for større kostnadsbesparelser. En grundig implementasjon av MS365 integrasjon vil skape et godt utgangspunkt for andre i fremtiden, slik som Adobe. Vi følger opp punktene i et eget arbeidsmøte.
- ROS må oppdateres med hva man får tilgang til av data
- Undersøke hvilke tilganger cloud application admin og reports reader gir
- Vi har en global innstilling som benytter SID istedet for brukernavn, konsekvenser for FNMS?
- Begrense hvor token benyttes fra?
- Det må ikke gis tilgang til mer enn det som er nødvendig, som Onedrive og kalender info f.eks.