ব্রাউজিং ইতিহাস ছাড়াই VPN অ্যাক্সেস অনুমোদন যেভাবে নথিভুক্ত করবেন
পরিচয়, অনুমোদনকারী ও মেয়াদ রাখুন, আর গন্তব্যের তালিকা বাদ দিন। তিনটি শর্ত ঠিক করে দেয় অ্যাক্সেসের সিদ্ধান্তের কতটা আপনার প্রকৃতপক্ষে নথিতে দরকার।
দুটি দল একই নথি চায়, কিন্তু তাতে ভিন্ন অর্থ বোঝে। পর্যালোচনাকারী প্রমাণ চান যে একজন নির্দিষ্ট ব্যক্তি একটি নির্দিষ্ট তারিখ পর্যন্ত একটি ভূমিকা অনুমোদন করেছেন, আর নেটওয়ার্ক দলের হাতে গন্তব্যে ভরা একটি ফায়ারওয়াল লগ আছে এবং তারা ধরে নেয় সেটাই যথেষ্ট। সেটা যথেষ্ট নয়, তাই অনুমোদনের ফোল্ডারগুলো হোস্টনামে ভরে যায় এবং তবুও অডিটের প্রথম প্রশ্নেই ব্যর্থ হয়। আপনার আসলে যা দরকার তা অল্প, আর তার কোনোটির জন্যই কেউ কোথায় ব্রাউজ করেছে তা লিখে রাখতে হয় না।
নথির আকার তিনটি শর্ত অনুসরণ করে: অনুমোদন কি ব্যক্তি-ভিত্তিক নাকি ভূমিকা-ভিত্তিক, অধিকারটি কি ব্যক্তির চাকরির মেয়াদের পরে টিকে থাকতে পারে, এবং কোনো চুক্তি বা কাঠামো কি অ্যাক্সেস পর্যালোচনাকে আবশ্যক প্রমাণ হিসেবে উল্লেখ করে।
পর্যালোচনার প্রশ্ন থেকে শুরু করুন, সংযোগ থেকে নয়
একটি ক্ষেত্র বাছাই করার আগেই লিখে ফেলুন অডিটর মুখে যে প্রশ্নটি করবেন। এই পরিচয়ের জন্য অ্যাক্সেস কে অনুমোদন করেছেন, কীসের জন্য, কোন তারিখের মধ্যে, এবং শেষে কে সেটি সরানোর কথা ছিল। ফর্মের প্রতিটি ক্ষেত্রকে সেই বাক্যের একটি অংশের উত্তর দিতে হবে, আর যা তা করে না তা হলো এমন একটি তালিকা যার সুরক্ষার দায়িত্ব আপনি এইমাত্র নিয়েছেন।
এই পরীক্ষা অভ্যাসবশত যা যোগ হয় তার বেশিরভাগই বাদ দেয়। গন্তব্যের তালিকা, DNS কোয়েরি, অ্যাপ্লিকেশন ব্যবহারের চার্ট এবং চলমান সেশনের স্ক্রিনশট সবই আচরণ বর্ণনা করে। আচরণ অনুমোদন নয়, আর তা সংগ্রহ করলে ফাইলটি অনেক উঁচু সংবেদনশীলতার শ্রেণিতে চলে যায়, যা আপনি যে লক্ষ্য নিয়ে শুরু করেছিলেন তার বিরুদ্ধে কাজ করে।
কতটা রাখবেন তা তিনটি শর্ত ঠিক করে
ব্যক্তি-ভিত্তিক অনুমোদনের জন্য দরকার একটি পরিচয় ও একটি শেষ তারিখ। ভূমিকা-ভিত্তিক অনুমোদনের জন্য দরকার ভূমিকাটি, তা যে পরিধি দেয় এবং জনগোষ্ঠীর মালিক, কারণ এক সারিতে চল্লিশ জনকে তালিকাভুক্ত করলে রক্ষণাবেক্ষণের জন্য চল্লিশটি রেকর্ড এবং কেউ চলে যাওয়া মিস করার চল্লিশটি সুযোগ তৈরি হয়। যেখানে অধিকার চাকরির মেয়াদের পরে টিকে থাকতে পারে, সেখানে সরানোর মালিক ও পর্যালোচনার পর্যায়ক্রম যোগ করুন, কারণ স্প্রেডশিটে থাকা মেয়াদ শেষের তারিখ খুব কমই কাউকে পদক্ষেপ নিতে বাধ্য করে।
| Condition | Add to the record | Leave out |
|---|---|---|
| Approved per person | Identity, approver, expiry | Device telemetry |
| Approved per role | Role, scope, population owner | Per-user destinations |
| Outlives employment | Removal owner, review date | Session transcripts |
| Named in a contract | The cited artifact and its revision | A second, friendlier copy |
কোনো কাঠামো অ্যাক্সেস পর্যালোচনাকে আবশ্যক প্রমাণ হিসেবে উল্লেখ করলে, পর্যালোচনা প্রক্রিয়া যে নথির উল্লেখ করে সেটিই রাখুন। VPN দলের জন্য সমান্তরাল একটি কপি তৈরি করাই হলো সেই পথ যেখানে একই অনুমোদনের দুটি সংস্করণ শেষ তারিখ নিয়ে মতানৈক্যে পৌঁছায়।
যে ক্ষেত্রগুলো সিদ্ধান্তটি বহন করে
কাজ করার মতো তালিকাটি ছোট: অনুমোদিত পরিচয়, অনুরোধকারী, অনুমোদনকারী, ভূমিকা বা সম্পদের পরিধি, এক লাইনে কারণ, কার্যকর সময়সীমা, পর্যালোচনা বা সরানোর মালিক, এবং যে টিকিটে অনুরোধটি আলোচিত হয়েছে তার প্রতি একটি নির্দেশ। ডিভাইস বা ক্রেডেনশিয়ালকে অ-গোপন শনাক্তকারক দিয়ে উল্লেখ করুন, যেমন অ্যাসেট ট্যাগ বা সার্টিফিকেট সাবজেক্ট, কখনোই ব্যবহৃত প্রাইভেট কী বা পাসওয়ার্ড দিয়ে নয়।
ফলাফলটিকে ব্যক্তিগত তথ্য হিসেবে গণ্য করুন, যদিও এতে কোনো গন্তব্য নেই। যে রেকর্ড বলে এই নামধারী কর্মীর ছয় মাস ধরে অর্থ বিভাগে প্রশাসনিক অ্যাক্সেস ছিল, সেটি নিজেই সংবেদনশীল, তাই কে ফোল্ডারটি পড়তে পারবে তা নির্ধারণ করুন এবং ফাইলটিকে বেনামি বলে অভিহিত করার বদলে প্রশাসনিক উদ্দেশ্যের জন্য সংরক্ষণের মেয়াদ ঠিক করুন।
ব্রাউজিং ডেটা কোথা দিয়ে অনুমোদনের ফাইলে ঢোকে
তিনটি ফাঁকফোকর এর বেশিরভাগের কারণ। একটি হেল্পডেস্ক টিকিটে ক্লায়েন্টের সংযোগ উইন্ডোর স্ক্রিনশট থাকে, কেউ প্রসঙ্গের জন্য SIEM এক্সপোর্ট পেস্ট করে, অথবা একটি ইনভেন্টরি রিপোর্ট অনুমোদনের সঙ্গে যুক্ত হয় কারণ তখন জোড়া লাগানো সহজ ছিল। প্রতিটি সংযুক্তি এমন ফাইলে আচরণ যোগ করে যার দরকার ছিল কেবল একটি সিদ্ধান্ত। স্ক্রিনশট ঢুকে গেলে পর্যালোচনাকারী জিজ্ঞাসা শুরু করেন ব্যবহারকারী কীসের কাছে পৌঁছাচ্ছিল, আর ফাইলটি পুনরায় শ্রেণিবদ্ধ করতে হয়।
যন্ত্র যেখানে সুযোগ দেয় সেখানে সংযুক্তির বদলে নির্দেশ দিন। নীতি যদি সংযুক্তিতেই জোর দেয়, তবে সেশন ক্যাপচার নয়, সিদ্ধান্তের লেখা ও অনুরোধের থ্রেড চান, এবং ফাইল সংরক্ষণের আগে বাকিটা বাদ দিন। অনুমোদনকারীর নিজের বার্তাই সাধারণত সেরা প্রমাণ এবং সবচেয়ে কম প্রকাশক।
চিহ্ন ছাড়াই পরিধি যাচাই করুন
গেটওয়ে নীতি হলো যা অনুমোদনকে অ্যাক্সেসে পরিণত করে, তাই এটি সরাসরি পরীক্ষা করুন। অনুমোদিত পরিধির ভেতরের একটি অ্যাকাউন্ট দিয়ে সাইন ইন করুন এবং একটি অনুমতিপ্রাপ্ত সম্পদে পৌঁছান, তারপর পরিধির বাইরের একটি গন্তব্য চেষ্টা করুন এবং প্রত্যাখ্যান নিশ্চিত করুন, একই হোস্টে ব্রাউজার ট্যাব নয়, বরং নীতির প্রত্যাশিত ক্লায়েন্ট ও পদ্ধতি ব্যবহার করে।
প্রাপ্যতা পর্যবেক্ষণ ও ঘটনা ডায়াগনস্টিকস নিজেদের দৃশ্যমানতা রাখতে পারে, নিজেদের সংরক্ষণ মেয়াদ ও নিজেদের অ্যাক্সেস তালিকার অধীনে। এই দুটি উদ্দেশ্য আলাদা রাখাই আপনাকে ব্রাউজিং চিহ্ন না দিয়েই পর্যালোচনাকারীকে উত্তর দিতে দেয়, আর কিছু সত্যিই নষ্ট হলে ডায়াগনস্টিকসকে কাজে লাগার মতো রাখে।
পরবর্তী পর্যালোচনার আগে কী যাচাই করবেন
নিশ্চিত করুন ফর্মটি অডিটরের বাক্যের উত্তর দেয় এবং আর কিছু নয়। যাচাই করুন প্রতিটি সারিতে একজন অনুমোদনকারী, একটি সময়সীমা ও একজন সরানোর মালিক আছে। তারপর ফোল্ডারের নিজের অ্যাক্সেস তালিকা দেখুন এবং প্রশ্ন করুন এটি VPN ব্যবহারকারী ভিত্তির চেয়ে ছোট কি না।
শেষ ধাপটি মানুষ এড়িয়ে যায়। একটি মেয়াদোত্তীর্ণ অনুমোদন নিন এবং অ্যাকাউন্টটি সত্যিই নিষ্ক্রিয় করা হয়েছিল কি না দেখতে তা পরিচয় প্রদানকারী পর্যন্ত অনুসরণ করুন। পরিচয়টি এখনো সক্রিয় থাকলে রেকর্ডটি নির্ভুল ছিল, প্রক্রিয়াটি নয়।