Jak evidovat schválení přístupu k VPN bez historie prohlížení
Zachovejte identitu, schvalovatele a platnost a seznam cílových destinací vynechejte. Tři podmínky určují, jak velkou část rozhodnutí o přístupu skutečně potřebujete mít v záznamu.
Dva týmy žádají stejný artefakt a míní jím různé věci. Recenzent chce doklad, že jmenovaná osoba schválila roli do určitého data, zatímco síťový tým má log firewallu plný destinací a předpokládá, že to stačí. Nestačí, a proto se složky schválení plní názvy hostitelů a přesto selhávají u první otázky auditu. To, co skutečně potřebujete, je málo a nic z toho nevyžaduje zaznamenávat, kam kdo prohlížel.
Velikost záznamu se řídí třemi podmínkami: zda se schválení uděluje na osobu, nebo na roli, zda oprávnění může přežít pracovní poměr osoby a zda smlouva nebo rámec uvádí revizi přístupu jako povinný důkaz.
Začněte otázkou recenzenta, ne připojením
Napište si otázku, kterou by auditor vyslovil nahlas, než zvolíte jediné pole. Kdo schválil přístup pro tuto identitu, k čemu, mezi kterými daty a kdo ho měl na konci odebrat. Každé pole formuláře má odpovědět na část této věty a cokoli, co to nedělá, je inventář, u kterého jste právě převzali povinnost ho chránit.
Tento test odstraní většinu toho, co se přidává ze zvyku. Seznamy destinací, dotazy DNS, grafy využití aplikací a snímky živé relace všechny popisují chování. Chování není schválení a jeho sběr přesouvá soubor do mnohem vyšší třídy citlivosti, což jde proti cíli, se kterým jste začali.
Tři podmínky určují, kolik toho uchovat
Schválení na osobu potřebují identitu a datum konce. Schválení na roli potřebují roli, rozsah, který uděluje, a vlastníka populace, protože výčet čtyřiceti lidí v jednom řádku vytváří čtyřicet záznamů k údržbě a čtyřicet šancí minout odchod. Když oprávnění může přežít pracovní poměr, přidejte vlastníka odebrání a rytmus revize, protože datum konce v tabulce málokdy přiměje někoho jednat.
| Condition | Add to the record | Leave out |
|---|---|---|
| Approved per person | Identity, approver, expiry | Device telemetry |
| Approved per role | Role, scope, population owner | Per-user destinations |
| Outlives employment | Removal owner, review date | Session transcripts |
| Named in a contract | The cited artifact and its revision | A second, friendlier copy |
Když rámec uvádí revizi přístupu jako povinný důkaz, zachovejte artefakt, který proces revize už cituje. Vytváření paralelní kopie pro tým VPN je způsob, jakým dvě verze téhož schválení skončí v rozporu ohledně data konce.
Pole, která nesou rozhodnutí
Použitelná sada je krátká: schválená identita, žadatel, schvalovatel, rozsah role nebo prostředku, důvod v jedné řádce, okno platnosti, vlastník revize nebo odebrání a odkaz na tiket, kde byl požadavek zdůvodněn. Zařízení nebo přihlašovací údaj označte ne tajným identifikátorem, například inventární značkou nebo subjektem certifikátu, nikdy soukromým klíčem nebo heslem, které se použilo.
Výsledek považujte za osobní údaj, i když neobsahuje destinace. Záznam, který říká, že tento jmenovaný zaměstnanec měl šest měsíců administrativní přístup do finančního segmentu, je citlivý sám o sobě, proto vymezte, kdo může složku číst, a nastavte retenci pro administrativní účel, místo abyste soubor označili za anonymní.
Kudy se data o prohlížení dostávají do spisu se schválením
Tři úniky vysvětlují většinu z toho. Tiket podpory nese snímek okna připojení klienta, někdo vloží export ze SIEM pro kontext nebo se zpráva o inventáři připojí ke schválení, protože tehdy bylo spojení snadné. Každá příloha přidává chování souboru, který potřeboval jen rozhodnutí. Jakmile je snímek uvnitř, recenzent se začne ptát, čeho se uživatel dovolával, a soubor se musí překlasifikovat.
Nahraďte přílohy odkazy, kdekoli to nástroj dovolí. Pokud politika na příloze trvá, žádejte text rozhodnutí a vlákno požadavku, ne záznam relace, a zbytek před uložením souboru odstraňte. Vlastní zpráva schvalovatele je obvykle nejlepší důkaz a nejméně prozrazuje.
Ověřte rozsah bez stopy
Politika brány je to, co mění schválení v přístup, proto ji testujte přímo. Přihlaste se účtem v rámci schváleného rozsahu a dosáhněte povoleného prostředku, potom zkuste destinaci mimo rozsah a potvrďte odmítnutí, s klientem a metodou, které politika očekává, ne s kartou prohlížeče na stejném hostiteli.
Monitorování dostupnosti a diagnostika incidentů si mohou držet vlastní viditelnost, pod vlastní retencí a vlastním seznamem přístupu. Právě oddělení těchto dvou účelů vám umožňuje odpovědět recenzentovi, aniž byste vydali stopu prohlížení, a udržuje diagnostiku užitečnou, když se něco skutečně rozbije.
Co zkontrolovat před příští revizí
Ověřte, že formulář odpovídá větě auditora a ničemu víc. Zkontrolujte, že každý řádek nese schvalovatele, okno a vlastníka odebrání. Potom se podívejte na vlastní seznam přístupu složky a ptejte se, zda je menší než základna uživatelů VPN.
Poslední krok je ten, který lidé přeskakují. Vezměte propadlé schválení a sledujte ho k poskytovateli identity, abyste viděli, zda byl účet skutečně deaktivován. Pokud je identita stále aktivní, záznam byl přesný a proces ne.