Hoe om VPN-toegangsgoedkeurings sonder blaaisgeskiedenis vas te lê

Twee spanne vra dieselfde artefak en bedoel verskillende dinge daarmee. Die keurder wil bewys dat ’n genoemde persoon ’n rol tot ’n bepaalde datum goedgekeur het, terwyl die netwerkspan ’n vuurmuurlog vol bestemmings het en aanneem dit tel. Dit tel nie, en daarom raak goedkeuringsvouers vol gasheername en slaag steeds nie die eerste ouditvraag nie. Wat jy werklik nodig het, is min, en niks daarvan vereis dat jy aanteken waar iemand geblaai het nie.

Die grootte van die rekord volg drie voorwaardes: of goedkeuring per persoon of per rol gegee word, of die reg kan voortduur ná die persoon se diensverhouding, en of ’n kontrak of raamwerk die toegangshersiening as vereiste bewys noem.

Begin by die keurder se vraag, nie by die verbinding nie

Skryf die vraag neer wat ’n ouditeur hardop sou vra voordat jy ’n enkele veld kies. Wie het toegang vir hierdie identiteit goedgekeur, tot wat, tussen watter datums, en wie moes dit aan die einde verwyder. Elke veld op die vorm moet ’n deel van daardie sin beantwoord, en enigiets wat dit nie doen nie, is ’n inventaris waarvoor jy pas die verpligting om dit te beskerm op jou geneem het.

Daardie toets verwyder die meeste van wat uit gewoonte bygevoeg word. Bestemmingslyste, DNS-navrae, toepassingsgebruikgrafieke en skermkiekies van ’n lewende sessie beskryf almal gedrag. Gedrag is nie die goedkeuring nie, en om dit in te samel skuif die lêer na ’n veel hoër sensitiwiteitsklas, wat teen die doel indruis waarmee jy begin het.

Drie voorwaardes bepaal hoeveel om te hou

Goedkeurings per persoon het ’n identiteit en ’n einddatum nodig. Goedkeurings per rol het die rol, die omvang daarvan en die eienaar van die populasie nodig, want om veertig mense in een ry te lys skep veertig rekords om in stand te hou en veertig kanse om ’n vertrek mis te kyk. Waar die reg ná diensverhouding kan voortduur, voeg ’n verwyderingseienaar en ’n hersieningsritme by, want ’n vervaldatum op ’n sigblad laat selde iemand optree.

Wanneer ’n raamwerk toegangshersiening as vereiste bewys noem, hou die artefak wat die hersieningsproses reeds aanhaal. Om ’n parallelle kopie vir die VPN-span te bou, is hoe twee weergawes van dieselfde goedkeuring uiteindelik oor ’n einddatum verskil.

Velde wat die besluit dra

’n Werkbare stel is kort: die goedgekeurde identiteit, die aanvraer, die goedkeurder, die rol- of hulpbronomvang, die rede in een reël, die effektiewe venster, die hersienings- of verwyderingseienaar, en ’n verwysing na die kaartjie waar die versoek beredeneer is. Verwys na die toestel of geloofsbrief deur ’n nie-geheime identifiseerder soos ’n batesetiket of sertifikaatonderwerp, nooit deur die private sleutel of die wagwoord wat gebruik is nie.

Hanteer die resultaat as persoonlike data, selfs al bevat dit geen bestemmings nie. ’n Rekord wat sê dat hierdie genoemde werknemer ses maande lank administratiewe toegang tot die finansiesegment gehad het, is op sigself sensitief, so bepaal wie die vouer kan lees en stel bewaring vir die administratiewe doel in plaas daarvan om die lêer anoniem te noem.

Waar blaaisdata in die goedkeuringslêer insluip

Drie lekke is vir die meeste daarvan verantwoordelik. ’n Dienstoonbankkaartjie bevat ’n skermkiekie van die kliënt se verbindingsvenster, iemand plak ’n SIEM-uitvoer vir konteks in, of ’n inventarisverslag word by die goedkeuring gevoeg omdat die samevoeging destyds maklik was. Elke aanhangsel voeg gedrag by ’n lêer wat net ’n besluit nodig gehad het. Sodra die skermkiekie in is, begin die keurder vra wat die gebruiker bereik het, en die lêer moet herklassifiseer word.

Vervang aanhangsels met verwysings waar die gereedskap dit toelaat. As beleid daarop aandring, vra die besluitteks en die versoekdraad, nie die sessie-opname nie, en stroop die res voordat die lêer gestoor word. Die goedkeurder se eie boodskap is gewoonlik die beste bewys en die minste onthullend.

Verifieer die omvang sonder die spoor

Die poortbeleid is wat ’n goedkeuring in toegang omskep, so toets dit direk. Meld aan met ’n rekening binne die goedgekeurde omvang en bereik ’n toegelate hulpbron, probeer dan ’n bestemming buite die omvang en bevestig die weiering, met die kliënt en metode wat die beleid verwag eerder as ’n blaaier-oortjie op dieselfde gasheer.

Beskikbaarheidsmonitering en insidentdiagnostiek kan hul eie sigbaarheid behou, onder hul eie bewaring en hul eie toegangslys. Om daardie twee doeleindes apart te hou, is wat jou in staat stel om die keurder te antwoord sonder om ’n blaaispoor oor te handig, en dit hou die diagnostiek nuttig wanneer iets werklik breek.

Wat om voor die volgende hersiening na te gaan

Bevestig dat die vorm die ouditeur se sin beantwoord en niks meer nie. Kontroleer dat elke ry ’n goedkeurder, ’n venster en ’n verwyderingseienaar het. Kyk dan na die vouer se eie toegangslys en vra of dit kleiner is as die VPN-gebruikersbasis.

Die laaste stap is die een wat mense oorslaan. Neem ’n vervalde goedkeuring en volg dit na die identiteitsverskaffer om te sien of die rekening werklik gedeaktiveer is. As die identiteit nog aktief is, was die rekord akkuraat en die proses nie.