Com registrar les aprovacions d’accés a la VPN sense historial de navegació

Dos equips demanen el mateix artefacte i hi entenen coses diferents. El revisor vol la prova que una persona determinada va aprovar un rol fins a una data, mentre que l’equip de xarxa té un registre del tallafoc ple de destinacions i assumeix que ja compta. No compta, i per això les carpetes d’aprovacions s’omplen de noms d’amfitrió i tot i així fallen la primera pregunta de l’auditoria. El que realment necessiteu és poc, i res d’això no exigeix enregistrar on ha navegat ningú.

La mida del registre segueix tres condicions: si l’aprovació es concedeix per persona o per rol, si el dret pot sobreviure a la relació laboral de la persona i si un contracte o un marc esmenta la revisió d’accessos com a evidència obligatòria.

Partiu de la pregunta del revisor, no de la connexió

Escriviu la pregunta que un auditor faria en veu alta abans de triar un sol camp. Qui va aprovar l’accés per a aquesta identitat, per a què, entre quines dates i qui havia de retirar-lo al final. Cada camp del formulari ha de respondre una part d’aquesta frase, i tot el que no ho faci és inventari del qual acabeu d’assumir l’obligació de protegir.

Aquesta prova elimina la major part del que s’afegeix per costum. Les llistes de destinacions, les consultes de DNS, els gràfics d’ús d’aplicacions i les captures d’una sessió en directe descriuen conducta. La conducta no és l’aprovació, i recollir-la trasllada el fitxer a una classe de sensibilitat molt més alta, cosa que va en contra de l’objectiu amb què vau començar.

Tres condicions decideixen quant cal conservar

Les aprovacions per persona necessiten una identitat i una data de fi. Les aprovacions per rol necessiten el rol, l’abast que atorga i el propietari de la població, perquè llistar quaranta persones en una fila crea quaranta registres per mantenir i quaranta ocasions de passar per alt una baixa. Quan el dret pot sobreviure a la relació laboral, afegiu un propietari de la retirada i una periodicitat de revisió, ja que una data de caducitat en un full de càlcul poques vegades fa que algú actuï.

Quan un marc esmenta la revisió d’accessos com a evidència obligatòria, conserveu l’artefacte que el procés de revisió ja cita. Construir una còpia paral·lela per a l’equip de VPN és com dues versions de la mateixa aprovació acaben discrepant sobre una data de fi.

Els camps que porten la decisió

El conjunt viable és curt: la identitat aprovada, el sol·licitant, l’aprovador, l’abast del rol o del recurs, el motiu en una línia, la finestra de vigència, el propietari de la revisió o de la retirada i un punter al tiquet on es va argumentar la sol·licitud. Referiu el dispositiu o la credencial amb un identificador no secret, com una etiqueta d’actiu o el subjecte del certificat, mai amb la clau privada ni la contrasenya que es va fer servir.

Tracteu el resultat com a dada personal encara que no contingui destinacions. Un registre que diu que aquest empleat anomenat tenia accés administratiu al segment de finances durant sis mesos és sensible per si sol, així que delimiteu qui pot llegir la carpeta i fixeu una retenció per a la finalitat administrativa en lloc de qualificar el fitxer d’anònim.

Per on s’escola la navegació al fitxer d’aprovació

Tres fuites expliquen la major part. Un tiquet de suport porta una captura de la finestra de connexió del client, algú enganxa una exportació del SIEM per posar context, o un informe d’inventari s’adjunta a l’aprovació perquè llavors la unió era fàcil. Cada adjunció afegeix conducta a un fitxer que només necessitava una decisió. Quan la captura ja hi és, el revisor comença a preguntar a què arribava l’usuari, i el fitxer s’ha de reclassificar.

Substituïu els adjunts per punters sempre que l’eina ho permeti. Si la política insisteix a adjuntar, demaneu el text de la decisió i el fil de la sol·licitud, no la captura de la sessió, i elimineu la resta abans de desar el fitxer. El missatge del mateix aprovador sol ser la millor prova i la menys reveladora.

Verifiqueu l’abast sense el rastre

La política de la passarel·la és el que converteix una aprovació en accés, així que proveu-la directament. Inicieu sessió amb un compte dins de l’abast aprovat i arribeu a un recurs permès, després proveu una destinació fora de l’abast i confirmeu la denegació, amb el client i el mètode que la política espera i no amb una pestanya del navegador al mateix amfitrió.

El monitoratge de disponibilitat i el diagnòstic d’incidents poden conservar la seva pròpia visibilitat, amb la seva pròpia retenció i la seva pròpia llista d’accés. Mantenir separades aquestes dues finalitats és el que us permet respondre al revisor sense lliurar un rastre de navegació, i manté el diagnòstic útil quan alguna cosa es trenca de veritat.

Què cal comprovar abans de la propera revisió

Confirmeu que el formulari respon la frase de l’auditor i res més. Comproveu que cada fila porti un aprovador, una finestra i un propietari de la retirada. Després mireu la llista d’accés de la mateixa carpeta i pregunteu si és més petita que la base d’usuaris de la VPN.

L’últim pas és el que la gent s’estalvia. Agafeu una aprovació caducada i seguiu-la fins al proveïdor d’identitat per veure si el compte es va desactivar realment. Si la identitat encara és activa, el registre era exacte i el procés no.