Como rexistrar as aprobacións de acceso á VPN sen historial de navegación

Dous equipos piden o mesmo artefacto e entenden cousas distintas. O revisor quere a proba de que unha persoa concreta aprobou un rol ata unha data, mentres que o equipo de rede ten un rexistro do devasado cheo de destinos e dá por feito que conta. Non conta, e por iso os cartafoles de aprobacións se enchen de nomes de host e aínda así fallan a primeira pregunta de auditoría. O que de verdade necesita é pouco, e nada diso esixe rexistrar onde navegou ninguén.

O tamaño do rexistro segue tres condicións: se a aprobación se concede por persoa ou por rol, se o dereito pode sobrevivir á relación laboral da persoa e se un contrato ou marco cita a revisión de accesos como evidencia obrigatoria.

Empece pola pregunta do revisor, non pola conexión

Escriba a pregunta que un auditor faría en voz alta antes de escoller un só campo. Quen aprobou o acceso para esta identidade, para que, entre que datas e quen debía retiralo ao final. Cada campo do formulario debe responder unha parte desa frase, e todo o que non o faga é inventario do que acaba de asumir a obriga de protexer.

Esa proba elimina a maior parte do que se engade por costume. As listas de destinos, as consultas de DNS, os gráficos de uso de aplicacións e as capturas dunha sesión en directo describen conduta. A conduta non é a aprobación, e recollela traslada o ficheiro a unha clase de sensibilidade moito máis alta, o que vai contra o obxectivo co que comezou.

Tres condicións deciden canto conservar

As aprobacións por persoa necesitan unha identidade e unha data de fin. As aprobacións por rol necesitan o rol, o alcance que concede e o propietario da poboación, porque listar corenta persoas nunha fila crea corenta rexistros que manter e corenta ocasións de pasar por alto unha baixa. Cando o dereito pode sobrevivir á relación laboral, engada un propietario da retirada e unha periodicidade de revisión, xa que unha data de caducidade nunha folla de cálculo rara vez fai que alguén actúe.

Cando un marco cita a revisión de accesos como evidencia obrigatoria, conserve o artefacto que o proceso de revisión xa cita. Construír unha copia paralela para o equipo de VPN é como dúas versións da mesma aprobación acaban discrepando sobre unha data de fin.

Os campos que levan a decisión

O conxunto viable é curto: a identidade aprobada, o solicitante, o aprobador, o alcance do rol ou do recurso, o motivo nunha liña, a xanela de vixencia, o propietario da revisión ou da retirada e un punteiro ao tícket onde se argumentou a solicitude. Refira o dispositivo ou a credencial cun identificador non secreto, como unha etiqueta de activo ou o suxeito do certificado, nunca coa clave privada nin co contrasinal que se utilizou.

Trate o resultado como dato persoal aínda que non conteña destinos. Un rexistro que di que este empregado nomeado tivo acceso administrativo ao segmento de finanzas durante seis meses é sensible por si só, así que delimite quen pode ler o cartafol e fixe unha retención para a finalidade administrativa en lugar de cualificar o ficheiro de anónimo.

Por onde se cola a navegación no expediente de aprobación

Tres fugas explican a maior parte. Un tícket de soporte leva unha captura da xanela de conexión do cliente, alguén pega unha exportación do SIEM para dar contexto, ou un informe de inventario se une á aprobación porque entón a unión era fácil. Cada anexo engade conduta a un ficheiro que só necesitaba unha decisión. Unha vez que a captura está dentro, o revisor comeza a preguntar a que chegaba o usuario, e o ficheiro hai que reclasificalo.

Substitúa os anexos por punteiros sempre que a ferramenta o permita. Se a política insiste nun anexo, pida o texto da decisión e o fío da solicitude, non a captura da sesión, e elimine o resto antes de gardar o ficheiro. A mensaxe do propio aprobador adoita ser a mellor proba e a que menos revela.

Verifique o alcance sen o rastro

A política da pasarela é o que converte unha aprobación en acceso, así que probea directamente. Inicie sesión cunha conta dentro do alcance aprobado e chegue a un recurso permitido, despois probe un destino fóra do alcance e confirme a denegación, co cliente e o método que a política espera e non cunha lapela do navegador no mesmo host.

A monitorización de dispoñibilidade e o diagnóstico de incidentes poden conservar a súa propia visibilidade, coa súa propia retención e a súa propia lista de acceso. Manter separadas esas dúas finalidades é o que lle permite responder ao revisor sen entregar un rastro de navegación, e mantén o diagnóstico útil cando algo se rompe de verdade.

Que comprobar antes da próxima revisión

Confirme que o formulario responde a frase do auditor e a nada máis. Comprobe que cada fila leva un aprobador, unha xanela e un propietario da retirada. Despois mire a lista de acceso do propio cartafol e pregunte se é máis pequena que a base de usuarios da VPN.

O último paso é o que a xente se salta. Colla unha aprobación caducada e ségaa ata o provedor de identidade para ver se a conta se desactivou realmente. Se a identidade segue activa, o rexistro era exacto e o proceso non.