Як фіксаваць дазволы на доступ да VPN без гісторыі прагляду
Захоўвайце ідэнтычнасць, таго, хто дазволіў, і тэрмін дзеяння, а спіс прызначэнняў прапусціце. Тры ўмовы вызначаюць, колькі рашэння пра доступ вам сапраўды трэба мець у справе.
Дзве каманды просяць адзін і той жа артэфакт і маюць на ўвазе рознае. Рэцэнзент хоча доказ, што пэўная асоба ўхваліла ролю да пэўнай даты, а сеткавая каманда мае журнал міжсеткавага экрана, поўны прызначэнняў, і мяркуе, што гэтага дастаткова. Не дастаткова, і менавіта таму папкі дазволаў запоўнены імёнамі хастоў і ўсё роўна правальваюць першае пытанне аўдыту. Сапраўды патрэбна нямнога, і нішто з гэтага не патрабуе запісваць, дзе хто праглядаў.
Памер запісу залежыць ад трох умоў: ці даецца дазвол на чалавека ці на ролю, ці можа права перажыць працоўныя адносіны чалавека, і ці называе дагавор або рамка перагляд доступу як абавязковы доказ.
Пачніце з пытання рэцэнзента, а не з падключэння
Запішыце пытанне, якое аўдытар задаў бы ўголас, перш чым выбраць хоць адно поле. Хто ўхваліў доступ для гэтай ідэнтычнасці, да чаго, паміж якімі датамі і хто павінен быў забраць яго ў канцы. Кожнае поле ў форме павінна адказваць на частку гэтага сказа, а ўсё, што гэтага не робіць, — гэта інвентар, на які вы толькі што ўзялі абавязак абараняць.
Гэты тэст прыбірае большасць таго, што дадаецца па звычцы. Спісы прызначэнняў, запыты DNS, графікі выкарыстання праграм і здымкі экрана жывой сесіі — усё гэта апісвае паводзіны. Паводзіны не з’яўляюцца дазволам, і іх збор пераводзіць справу ў значна вышэйшы клас чуласці, што супярэчыць мэце, з якой вы пачалі.
Тры ўмовы вызначаюць, колькі захоўваць
Дазволы на чалавека патрабуюць ідэнтычнасці і даты заканчэння. Дазволы на ролю патрабуюць ролі, абсягу, які яна дае, і ўладальніка сукупнасці людзей, бо пералік сарака чалавек у адным радку стварае сарака запісаў для падтрымкі і сарака шанцаў прапусціць звальненне. Калі права можа перажыць працоўныя адносіны, дадайце ўладальніка выдалення і перыядычнасць перагляду, бо дата заканчэння ў табліцы рэдка прымушае каго-небудзь дзейнічаць.
| Condition | Add to the record | Leave out |
|---|---|---|
| Approved per person | Identity, approver, expiry | Device telemetry |
| Approved per role | Role, scope, population owner | Per-user destinations |
| Outlives employment | Removal owner, review date | Session transcripts |
| Named in a contract | The cited artifact and its revision | A second, friendlier copy |
Калі рамка называе перагляд доступу абавязковым доказам, захоўвайце той артэфакт, на які ўжо спасылаецца працэс перагляду. Стварэнне паралельнай копіі для каманды VPN — гэта шлях, якім дзве версіі аднаго дазволу пачынаюць разыходзіцца ў даце заканчэння.
Палі, якія нясуць рашэнне
Працаздольны набор кароткі: ухваленая ідэнтычнасць, запытчык, той, хто ўхваліў, роля або абсяг рэсурсу, прычына ў адзін радок, акно дзеяння, уладальнік перагляду або выдалення і спасылка на тыкет, дзе абмяркоўваўся запыт. Спасылайцеся на прыладу або ўліковыя даныя праз не сакрэтны ідэнтыфікатар, напрыклад інвентарны нумар або суб’ект сертыфіката, ніколі праз прыватны ключ або пароль, які выкарыстоўваўся.
Стаўцеся да выніку як да персанальных даных, нават калі ён не змяшчае прызначэнняў. Запіс, які сцвярджае, што гэты названы супрацоўнік меў адміністрацыйны доступ да фінансавага сегмента шэсць месяцаў, чуллівы сам па сабе, таму вызначце, хто можа чытаць папку, і ўсталюйце тэрмін захавання для адміністрацыйнай мэты замест таго, каб называць файл ананімным.
Адкуль даныя прагляду трапляюць у файл дазволу
Тры ўцечкі тлумачаць большасць выпадкаў. Тыкет службы падтрымкі нясе здымак экрана акна падключэння кліента, хтосьці ўстаўляе выгрузку SIEM для кантэксту, або справаздача інвентарызацыі далучаецца да дазволу, бо тады аб’яднанне было простым. Кожнае далучэнне дадае паводзіны ў файл, якому патрэбна было толькі рашэнне. Як толькі здымак экрана трапіў унутр, рэцэнзент пачынае пытацца, да чаго дабіраўся карыстальнік, і файл даводзіцца перакласіфікаваць.
Замяняйце далучэнні спасылкамі, дзе гэта дазваляе інструмент. Калі палітыка настойвае на далучэнні, прасіце тэкст рашэння і ланцужок запыту, а не запіс сесіі, і выдаліце астатняе перад захаваннем файла. Уласнае паведамленне таго, хто ўхваліў, звычайна найлепшы доказ і найменш паказальны.
Праверце абсяг без слядоў
Палітыка шлюза — гэта тое, што ператварае дазвол у доступ, таму праверце яго напрамую. Увайдзіце ўліковым запісам унутры ўхваленага абсягу і дасягніце дазволенага рэсурсу, затым паспрабуйце прызначэнне па-за абсягам і пацвердзіце адмову, выкарыстоўваючы кліент і метад, якіх чакае палітыка, а не ўкладку браўзера на тым самым хасце.
Маніторынг даступнасці і дыягностыка інцыдэнтаў могуць захоўваць уласную бачнасць, пад уласным тэрмінам захавання і ўласным спісам доступу. Менавіта раздзяленне гэтых дзвюх мэтаў дазваляе адказаць рэцэнзенту, не перадаючы след прагляду, і захоўвае дыягностыку карыснай, калі нешта сапраўды ламаецца.
Што праверыць перад наступным пераглядам
Пераканайцеся, што форма адказвае на сказ аўдытара і не больш. Праверце, што кожны радок нясе таго, хто ўхваліў, акно і ўладальніка выдалення. Затым паглядзіце на ўласны спіс доступу папкі і спытайце, ці ён меншы за базу карыстальнікаў VPN.
Апошні крок — той, які людзі прапускаюць. Вазьміце дазвол з скончаным тэрмінам і прасачыце яго да пастаўшчыка ідэнтычнасці, каб убачыць, ці ўліковы запіс сапраўды быў адключаны. Калі ідэнтычнасць усё яшчэ актыўная, запіс быў дакладны, а працэс — не.