Näin kirjaat VPN-käytön hyväksynnät ilman selaushistoriaa
Säilytä identiteetti, hyväksyjä ja voimassaolon päättyminen, ja jätä kohdeluettelo pois. Kolme ehtoa ratkaisee, kuinka paljon käyttöpäätöksestä todella tarvitset asiakirjaan.
Kaksi tiimiä pyytää samaa artefaktia ja tarkoittaa sillä eri asioita. Katselmoija haluaa todisteen siitä, että nimetty henkilö hyväksyi roolin tiettyyn päivään asti, kun taas verkkotiimillä on palomuuriloki täynnä kohteita ja se olettaa sen riittävän. Se ei riitä, ja siksi hyväksyntäkansiot täyttyvät isäntänimistä ja epäonnistuvat silti ensimmäisessä auditointikysymyksessä. Se, mitä todella tarvitset, on vähän, eikä mikään siitä vaadi kirjaamaan, missä kukaan selasi.
Tietueen koko noudattaa kolmea ehtoa: myönnetäänkö hyväksyntä henkilöä vai roolia kohti, voiko oikeus elää henkilön työsuhteen yli ja nimeääkö sopimus tai viitekehys käyttöoikeuskatselmoinnin vaadituksi todisteeksi.
Aloita katselmoijan kysymyksestä, älä yhteydestä
Kirjoita kysymys, jonka auditoija esittäisi ääneen, ennen kuin valitset yhtäkään kenttää. Kuka hyväksyi käytön tälle identiteetille, mihin, minkä päivämäärien välillä ja kenen oli tarkoitus poistaa se lopussa. Lomakkeen jokaisen kentän on vastattava osaan tuosta lauseesta, ja kaikki mikä ei niin tee on inventaariota, jonka suojaamisvelvoitteen juuri otit.
Tämä testi poistaa suurimman osan siitä, mitä tottumuksesta lisätään. Kohdeluettelot, DNS-kyselyt, sovellusten käyttökaaviot ja kuvakaappaukset live-istunnosta kuvaavat kaikki käyttäytymistä. Käyttäytyminen ei ole hyväksyntä, ja sen kerääminen siirtää asiakirjan paljon korkeampaan arkaluonteisuusluokkaan, mikä toimii sitä tavoitetta vastaan, jolla aloitit.
Kolme ehtoa ratkaisee, kuinka paljon säilyttää
Henkilökohtaiset hyväksynnät tarvitsevat identiteetin ja päättymispäivän. Roolikohtaiset hyväksynnät tarvitsevat roolin, sen antaman laajuuden ja populaation omistajan, sillä neljänkymmenen ihmisen luetteleminen yhdelle riville luo neljäkymmentä ylläpidettävää tietuetta ja neljäkymmentä mahdollisuutta jättää lähtö huomaamatta. Jos oikeus voi elää työsuhteen yli, lisää poistamisen omistaja ja katselmointitiheys, sillä taulukon päättymispäivä harvoin saa ketään toimimaan.
| Condition | Add to the record | Leave out |
|---|---|---|
| Approved per person | Identity, approver, expiry | Device telemetry |
| Approved per role | Role, scope, population owner | Per-user destinations |
| Outlives employment | Removal owner, review date | Session transcripts |
| Named in a contract | The cited artifact and its revision | A second, friendlier copy |
Kun viitekehys nimeää käyttöoikeuskatselmoinnin vaadituksi todisteeksi, säilytä se artefakti, johon katselmointiprosessi jo viittaa. Rinnakkaisen kopion rakentaminen VPN-tiimille on se tapa, jolla saman hyväksynnän kaksi versiota päätyvät erimielisyyteen päättymispäivästä.
Kentät, jotka kantavat päätöksen
Toimiva joukko on lyhyt: hyväksytty identiteetti, pyytäjä, hyväksyjä, roolin tai resurssin laajuus, syy yhdellä rivillä, voimassaoloikkuna, katselmoinnin tai poistamisen omistaja ja osoitin tikettiin, jossa pyyntöä perusteltiin. Viittaa laitteeseen tai tunnistetietoon ei-salaisella tunnisteella, kuten omaisuustunniste tai varmenteen subjekti, ei koskaan käytetyllä yksityisavaimella tai salasanalla.
Käsittele tulosta henkilötietona, vaikka se ei sisältäisi kohteita. Tietue, joka sanoo tämän nimetyn työntekijän omanneen kuusi kuukautta hallinnollisen käytön taloussegmenttiin, on sellaisenaan arkaluonteinen, joten rajaa, kuka voi lukea kansion, ja aseta säilytysaika hallinnollista tarkoitusta varten sen sijaan että kutsuisit asiakirjaa anonyymiksi.
Mistä selausdata livahtaa hyväksyntäasiakirjaan
Kolme vuotoa selittää suurimman osan. Tukipalvelutiketti sisältää kuvakaappauksen asiakkaan yhteysikkunasta, joku liittää SIEM-viennin kontekstiksi, tai inventaarioraportti liitetään hyväksyntään, koska liittäminen oli silloin helppoa. Jokainen liite lisää käyttäytymistä asiakirjaan, joka tarvitsi vain päätöksen. Kun kuvakaappaus on sisällä, katselmoija alkaa kysyä, mihin käyttäjä oli pääsemässä, ja asiakirja on luokiteltava uudelleen.
Korvaa liitteet osoittimilla kaikkialla, missä työkalu sen sallii. Jos käytäntö vaatii liitteen, pyydä päätöksen teksti ja pyynnön ketju, älä istunnon tallennetta, ja poista loput ennen kuin asiakirja tallennetaan. Hyväksyjän oma viesti on yleensä paras todiste ja vähiten paljastava.
Varmista laajuus ilman jälkeä
Yhdyskäytävän käytäntö on se, mikä muuttaa hyväksynnän käytöksi, joten testaa sitä suoraan. Kirjaudu sisään hyväksytyn laajuuden sisällä olevalla tilillä ja saavuta sallittu resurssi, kokeile sitten kohdetta laajuuden ulkopuolelta ja vahvista hylkäys, käyttäen sitä asiakasta ja menetelmää, jota käytäntö odottaa, älä selaimen välilehteä samalla isännällä.
Saatavuuden valvonta ja incidenttien diagnostiikka voivat pitää oman näkyvyytensä, oman säilytyksensä ja oman käyttöluettelonsa alla. Näiden kahden tarkoituksen erillään pitäminen on se, mikä antaa sinun vastata katselmoijalle luovuttamatta selausjälkeä, ja se pitää diagnostiikan hyödyllisenä, kun jotain todella hajoaa.
Mitä tarkistaa ennen seuraavaa katselmointia
Varmista, että lomake vastaa auditoijan lauseeseen eikä mihinkään muuhun. Tarkista, että jokaisella rivillä on hyväksyjä, ikkuna ja poistamisen omistaja. Katso sitten kansion omaa käyttöluetteloa ja kysy, onko se pienempi kuin VPN:n käyttäjäkanta.
Viimeinen vaihe on se, jonka ihmiset ohittavat. Ota vanhentunut hyväksyntä ja seuraa sitä identiteettipalveluun nähdäksesi, poistettiinko tili todella käytöstä. Jos identiteetti on yhä aktiivinen, tietue oli täsmällinen ja prosessi ei.