Sådan registrerer du VPN-adgangsgodkendelser uden browserhistorik

To teams beder om det samme artefakt og mener noget forskelligt med det. Revieweren vil have bevis for, at en navngiven person godkendte en rolle indtil en dato, mens netværksteamet har en firewalllog fuld af destinationer og antager, at den tæller. Det gør den ikke, og derfor fyldes godkendelsesmapper med værtsnavne og fejler alligevel det første revisionsspørgsmål. Det, du faktisk har brug for, er lidt, og intet af det kræver, at du registrerer, hvor nogen har browsed.

Postens størrelse følger tre betingelser: om godkendelsen gives pr. person eller pr. rolle, om rettigheden kan overleve personens ansættelse, og om en kontrakt eller ramme nævner adgangsgennemgangen som påkrævet dokumentation.

Begynd med reviewerens spørgsmål, ikke med forbindelsen

Skriv det spørgsmål ned, som en revisor ville stille højt, før du vælger et eneste felt. Hvem godkendte adgang for denne identitet, til hvad, mellem hvilke datoer, og hvem skulle fjerne den til sidst. Hvert felt på formularen skal besvare en del af den sætning, og alt, der ikke gør det, er inventar, som du netop har påtaget dig forpligtelsen til at beskytte.

Den test fjerner det meste af det, der tilføjes af vane. Destinationslister, DNS-forespørgsler, diagrammer over applikationsbrug og skærmbilleder af en live session beskriver alle adfærd. Adfærd er ikke godkendelsen, og at indsamle den flytter filen til en meget højere følsomhedsklasse, hvilket arbejder imod det mål, du startede med.

Tre betingelser afgør, hvor meget du skal beholde

Godkendelser pr. person kræver en identitet og en slutdato. Godkendelser pr. rolle kræver rollen, det omfang den giver, og ejeren af populationen, fordi at liste fyrre personer i én række skaber fyrre poster at vedligeholde og fyrre chancer for at overse en afgang. Hvor rettigheden kan overleve ansættelsen, tilføj en ejer af fjernelsen og en gennemgangskadence, da en udløbsdato i et regneark sjældent får nogen til at handle.

Når en ramme nævner adgangsgennemgang som påkrævet dokumentation, behold det artefakt, som gennemgangsprocessen allerede henviser til. At bygge en parallel kopi til VPN-teamet er måden, hvorpå to versioner af den samme godkendelse ender med at være uenige om en slutdato.

Felterne, der bærer beslutningen

Det brugbare sæt er kort: den godkendte identitet, ansøgeren, godkenderen, rolle- eller ressourceomfanget, begrundelsen på én linje, gyldighedsvinduet, ejeren af gennemgang eller fjernelse og en henvisning til den sag, hvor anmodningen blev drøftet. Referer til enheden eller legitimationsoplysningen med en ikke-hemmelig identifikator som et aktivmærke eller certifikatets subjekt, aldrig med den private nøgle eller den adgangskode, der blev brugt.

Behandl resultatet som personoplysninger, selvom det ikke indeholder destinationer. En post, der siger, at denne navngivne medarbejder havde administrativ adgang til økonomisegmentet i seks måneder, er følsom i sig selv, så afgræns, hvem der kan læse mappen, og sæt opbevaring for det administrative formål i stedet for at kalde filen anonym.

Hvor browserdata sniger sig ind i godkendelsessagen

Tre lækager forklarer det meste. En supportsag indeholder et skærmbillede af klientens forbindelsesvindue, nogen indsætter et SIEM-eksport for kontekst, eller en inventarrapport bliver sammenkørt med godkendelsen, fordi sammenkøringen var nem dengang. Hver vedhæftning tilføjer adfærd til en fil, der kun manglede en beslutning. Når skærmbilledet først er inde, begynder revieweren at spørge, hvad brugeren nåede frem til, og filen skal omklassificeres.

Erstat vedhæftninger med henvisninger, hvor værktøjet tillader det. Hvis politikken insisterer på en vedhæftning, bed om beslutningsteksten og anmodningstråden, ikke sessionsoptagelsen, og fjern resten, før filen gemmes. Godkenderens egen besked er normalt det bedste bevis og det mindst afslørende.

Verificer omfanget uden sporet

Gatewaypolitikken er det, der gør en godkendelse til adgang, så test den direkte. Log ind med en konto inden for det godkendte omfang og nå en tilladt ressource, prøv derefter en destination uden for omfanget og bekræft afvisningen, med den klient og metode, politikken forventer, ikke en browsertab på samme vært.

Tilgængelighedsovervågning og incidensdiagnostik kan beholde deres egen synlighed under deres egen opbevaring og deres egen adgangsliste. At holde disse to formål adskilt er det, der lader dig svare revieweren uden at udlevere et browserspor, og det holder diagnostikken nyttig, når noget faktisk går i stykker.

Hvad du skal kontrollere før næste gennemgang

Bekræft, at formularen besvarer revisorens sætning og intet mere. Kontroller, at hver række har en godkender, et vindue og en ejer af fjernelsen. Se derefter på mappens egen adgangsliste, og spørg, om den er mindre end VPN-brugerbasen.

Det sidste skridt er det, folk springer over. Tag en udløbet godkendelse og følg den til identitetsudbyderen for at se, om kontoen faktisk blev deaktiveret. Hvis identiteten stadig er aktiv, var posten præcis, og processen var det ikke.