Πώς να καταγράφετε εγκρίσεις πρόσβασης VPN χωρίς ιστορικό περιήγησης

Δύο ομάδες ζητούν το ίδιο τεκμήριο και εννοούν διαφορετικά πράγματα. Ο ελεγκτής θέλει απόδειξη ότι ένα επώνυμο πρόσωπο ενέκρινε έναν ρόλο έως μια ημερομηνία, ενώ η ομάδα δικτύου έχει ένα αρχείο τείχους προστασίας γεμάτο προορισμούς και υποθέτει ότι αρκεί. Δεν αρκεί, και γι’ αυτό οι φάκελοι εγκρίσεων γεμίζουν ονόματα κεντρικών υπολογιστών και παρ’ όλα αυτά αποτυγχάνουν στην πρώτη ερώτηση ελέγχου. Αυτό που πραγματικά χρειάζεστε είναι λίγο, και τίποτα από αυτά δεν απαιτεί να καταγράψετε πού περιηγήθηκε κανείς.

Το μέγεθος της εγγραφής ακολουθεί τρεις προϋποθέσεις: αν η έγκριση δίνεται ανά πρόσωπο ή ανά ρόλο, αν το δικαίωμα μπορεί να επιβιώσει της εργασιακής σχέσης του προσώπου και αν ένα συμβόλαιο ή πλαίσιο αναφέρει την επισκόπηση πρόσβασης ως απαιτούμενο αποδεικτικό στοιχείο.

Ξεκινήστε από την ερώτηση του ελεγκτή, όχι από τη σύνδεση

Γράψτε την ερώτηση που θα έκανε φωναχτά ένας ελεγκτής πριν επιλέξετε ένα και μόνο πεδίο. Ποιος ενέκρινε την πρόσβαση για αυτή την ταυτότητα, σε τι, μεταξύ ποιων ημερομηνιών, και ποιος έπρεπε να την αφαιρέσει στο τέλος. Κάθε πεδίο στη φόρμα πρέπει να απαντά ένα μέρος αυτής της φράσης, και ό,τι δεν το κάνει είναι απόθεμα για το οποίο μόλις αναλάβατε την υποχρέωση να το προστατεύετε.

Αυτή η δοκιμή αφαιρεί τα περισσότερα από όσα προστίθενται από συνήθεια. Λίστες προορισμών, ερωτήματα DNS, γραφήματα χρήσης εφαρμογών και στιγμιότυπα μιας ζωντανής συνεδρίας περιγράφουν όλα συμπεριφορά. Η συμπεριφορά δεν είναι η έγκριση, και η συλλογή της μεταφέρει τον φάκελο σε πολύ υψηλότερη κλάση ευαισθησίας, κάτι που λειτουργεί ενάντια στον στόχο με τον οποίο ξεκινήσατε.

Τρεις προϋποθέσεις καθορίζουν πόσα να κρατήσετε

Οι εγκρίσεις ανά πρόσωπο χρειάζονται ταυτότητα και ημερομηνία λήξης. Οι εγκρίσεις ανά ρόλο χρειάζονται τον ρόλο, το εύρος που παρέχει και τον ιδιοκτήτη του πληθυσμού, γιατί η καταχώριση σαράντα προσώπων σε μία γραμμή δημιουργεί σαράντα εγγραφές προς συντήρηση και σαράντα ευκαιρίες να χαθεί μια αποχώρηση. Όπου το δικαίωμα μπορεί να επιβιώσει της εργασιακής σχέσης, προσθέστε ιδιοκτήτη αφαίρεσης και ρυθμό επισκόπησης, αφού μια ημερομηνία λήξης σε υπολογιστικό φύλλο σπάνια κάνει κάποιον να δράσει.

Όταν ένα πλαίσιο αναφέρει την επισκόπηση πρόσβασης ως απαιτούμενο αποδεικτικό στοιχείο, κρατήστε το τεκμήριο που η διαδικασία επισκόπησης ήδη επικαλείται. Το να χτίσετε ένα παράλληλο αντίγραφο για την ομάδα VPN είναι ο τρόπος με τον οποίο δύο εκδοχές της ίδιας έγκρισης καταλήγουν να διαφωνούν για μια ημερομηνία λήξης.

Τα πεδία που φέρουν την απόφαση

Το εφαρμόσιμο σύνολο είναι σύντομο: η εγκεκριμένη ταυτότητα, ο αιτών, ο εγκρίνων, το εύρος ρόλου ή πόρου, ο λόγος σε μία γραμμή, το παράθυρο ισχύος, ο ιδιοκτήτης της επισκόπησης ή της αφαίρεσης και ένας δείκτης στο δελτίο όπου συζητήθηκε το αίτημα. Αναφέρετε τη συσκευή ή το διαπιστευτήριο με μη μυστικό αναγνωριστικό, όπως ετικέτα περιουσιακού στοιχείου ή υποκείμενο πιστοποιητικού, ποτέ με το ιδιωτικό κλειδί ή τον κωδικό πρόσβασης που χρησιμοποιήθηκε.

Αντιμετωπίστε το αποτέλεσμα ως δεδομένα προσωπικού χαρακτήρα ακόμη και αν δεν περιέχει προορισμούς. Μια εγγραφή που λέει ότι αυτός ο επώνυμος υπάλληλος είχε διαχειριστική πρόσβαση στο τμήμα οικονομικών για έξι μήνες είναι ευαίσθητη από μόνη της, οπότε ορίστε ποιος μπορεί να διαβάσει τον φάκελο και θέστε χρόνο διατήρησης για τον διαχειριστικό σκοπό αντί να αποκαλείτε το αρχείο ανώνυμο.

Από πού εισρέουν δεδομένα περιήγησης στον φάκελο έγκρισης

Τρεις διαρροές εξηγούν τα περισσότερα. Ένα δελτίο υποστήριξης φέρει στιγμιότυπο του παραθύρου σύνδεσης του πελάτη, κάποιος επικολλά μια εξαγωγή SIEM για πλαίσιο, ή μια αναφορά απογραφής συνενώνεται με την έγκριση επειδή τότε η συνένωση ήταν εύκολη. Κάθε συνημμένο προσθέτει συμπεριφορά σε ένα αρχείο που χρειαζόταν μόνο μια απόφαση. Μόλις μπει το στιγμιότυπο, ο ελεγκτής αρχίζει να ρωτά τι προσέγγιζε ο χρήστης, και το αρχείο πρέπει να ταξινομηθεί εκ νέου.

Αντικαταστήστε τα συνημμένα με δείκτες όπου το εργαλείο το επιτρέπει. Αν η πολιτική επιμένει σε συνημμένο, ζητήστε το κείμενο της απόφασης και το νήμα του αιτήματος, όχι την καταγραφή της συνεδρίας, και αφαιρέστε τα υπόλοιπα πριν αποθηκευτεί το αρχείο. Το ίδιο το μήνυμα του εγκρίνοντος είναι συνήθως η καλύτερη απόδειξη και η λιγότερο αποκαλυπτική.

Επαληθεύστε το εύρος χωρίς το ίχνος

Η πολιτική της πύλης είναι αυτό που μετατρέπει μια έγκριση σε πρόσβαση, οπότε δοκιμάστε την άμεσα. Συνδεθείτε με λογαριασμό εντός του εγκεκριμένου εύρους και φτάστε σε έναν επιτρεπτό πόρο, στη συνέχεια δοκιμάστε έναν προορισμό εκτός εύρους και επιβεβαιώστε την άρνηση, με τον πελάτη και τη μέθοδο που η πολιτική αναμένει, όχι με καρτέλα προγράμματος περιήγησης στον ίδιο κεντρικό υπολογιστή.

Η παρακολούθηση διαθεσιμότητας και η διάγνωση περιστατικών μπορούν να κρατήσουν τη δική τους ορατότητα, με δική τους διατήρηση και δική τους λίστα πρόσβασης. Ο διαχωρισμός αυτών των δύο σκοπών είναι αυτό που σας επιτρέπει να απαντήσετε στον ελεγκτή χωρίς να παραδώσετε ίχνος περιήγησης, και κρατά τη διάγνωση χρήσιμη όταν κάτι πραγματικά χαλάσει.

Τι να ελέγξετε πριν την επόμενη επισκόπηση

Επιβεβαιώστε ότι η φόρμα απαντά τη φράση του ελεγκτή και τίποτα περισσότερο. Ελέγξτε ότι κάθε γραμμή φέρει εγκρίνοντα, παράθυρο και ιδιοκτήτη αφαίρεσης. Έπειτα κοιτάξτε τη λίστα πρόσβασης του ίδιου του φακέλου και ρωτήστε αν είναι μικρότερη από τη βάση χρηστών VPN.

Το τελευταίο βήμα είναι αυτό που οι άνθρωποι προσπερνούν. Πάρτε μια ληγμένη έγκριση και ακολουθήστε την ως τον πάροχο ταυτότητας για να δείτε αν ο λογαριασμός απενεργοποιήθηκε πραγματικά. Αν η ταυτότητα είναι ακόμη ενεργή, η εγγραφή ήταν ακριβής και η διαδικασία όχι.