ब्राउज़िंग इतिहास के बिना VPN एक्सेस अनुमतियाँ कैसे दर्ज करें
पहचान, अनुमोदक और समाप्ति तिथि रखें, और गंतव्यों की सूची छोड़ दें। तीन शर्तें तय करती हैं कि एक्सेस निर्णय का कितना हिस्सा आपको वास्तव में फ़ाइल में रखना है।
दो टीमें एक ही दस्तावेज़ माँगती हैं और उससे अलग-अलग अर्थ निकालती हैं। समीक्षक सबूत चाहता है कि किसी नामित व्यक्ति ने किसी तारीख तक एक भूमिका को मंज़ूरी दी, जबकि नेटवर्क टीम के पास गंतव्यों से भरा फ़ायरवॉल लॉग है और वह मान लेती है कि वही पर्याप्त है। वह पर्याप्त नहीं है, और इसीलिए अनुमोदन फ़ोल्डर होस्टनामों से भर जाते हैं और फिर भी ऑडिट के पहले सवाल पर विफल हो जाते हैं। आपको वास्तव में जो चाहिए वह कम है, और उसमें से कुछ भी यह दर्ज करने की मांग नहीं करता कि कोई कहाँ ब्राउज़ करता रहा।
रिकॉर्ड का आकार तीन शर्तों का पालन करता है: अनुमोदन प्रति व्यक्ति दिया जाता है या प्रति भूमिका, क्या यह अधिकार व्यक्ति के रोज़गार से आगे टिक सकता है, और क्या कोई अनुबंध या ढाँचा एक्सेस समीक्षा को अपेक्षित साक्ष्य के रूप में नामित करता है।
समीक्षक के सवाल से शुरू करें, कनेक्शन से नहीं
एक भी फ़ील्ड चुनने से पहले वह सवाल लिख लें जो ऑडिटर ज़ोर से पूछेगा। इस पहचान के लिए एक्सेस किसने मंज़ूर किया, किस चीज़ के लिए, किन तारीखों के बीच, और अंत में इसे किसे हटाना था। फ़ॉर्म का हर फ़ील्ड उस वाक्य के किसी हिस्से का जवाब देना चाहिए, और जो ऐसा नहीं करता वह ऐसी सूची है जिसकी सुरक्षा का दायित्व आपने अभी-अभी लिया है।
यह परीक्षण आदतवश जोड़ी जाने वाली अधिकांश चीज़ों को हटा देता है। गंतव्यों की सूचियाँ, DNS क्वेरी, एप्लिकेशन उपयोग के चार्ट और किसी जीवंत सत्र के स्क्रीनशॉट सभी व्यवहार का वर्णन करते हैं। व्यवहार अनुमोदन नहीं है, और उसे इकट्ठा करने से फ़ाइल बहुत ऊँची संवेदनशीलता श्रेणी में चली जाती है, जो उस लक्ष्य के विरुद्ध काम करता है जिसके साथ आपने शुरुआत की थी।
कितना रखना है यह तीन शर्तें तय करती हैं
प्रति-व्यक्ति अनुमोदनों के लिए एक पहचान और एक अंतिम तिथि चाहिए। प्रति-भूमिका अनुमोदनों के लिए भूमिका, उसका दिया गया दायरा और आबादी का स्वामी चाहिए, क्योंकि एक पंक्ति में चालीस लोगों को सूचीबद्ध करने से रखरखाव के लिए चालीस रिकॉर्ड और किसी के जाने को चूकने के चालीस मौके बनते हैं। जहाँ अधिकार रोज़गार से आगे टिक सकता है, वहाँ हटाने का स्वामी और समीक्षा की गति जोड़ें, क्योंकि स्प्रेडशीट में लिखी समाप्ति तिथि शायद ही कभी किसी को कार्रवाई के लिए प्रेरित करती है।
| Condition | Add to the record | Leave out |
|---|---|---|
| Approved per person | Identity, approver, expiry | Device telemetry |
| Approved per role | Role, scope, population owner | Per-user destinations |
| Outlives employment | Removal owner, review date | Session transcripts |
| Named in a contract | The cited artifact and its revision | A second, friendlier copy |
जब कोई ढाँचा एक्सेस समीक्षा को अपेक्षित साक्ष्य कहता है, तो वही दस्तावेज़ रखें जिसका उल्लेख समीक्षा प्रक्रिया पहले से करती है। VPN टीम के लिए समानांतर प्रति बनाना ही वह रास्ता है जिससे एक ही अनुमोदन के दो संस्करण समाप्ति तिथि पर असहमत हो जाते हैं।
जो फ़ील्ड निर्णय को वहन करते हैं
काम करने योग्य सेट छोटा है: अनुमोदित पहचान, अनुरोधकर्ता, अनुमोदक, भूमिका या संसाधन का दायरा, एक पंक्ति में कारण, वैधता अवधि, समीक्षा या हटाने का स्वामी, और उस टिकट का संकेत जहाँ अनुरोध पर तर्क दिया गया। डिवाइस या क्रेडेंशियल का उल्लेख गैर-गोपनीय पहचानकर्ता जैसे एसेट टैग या प्रमाणपत्र विषय से करें, कभी भी इस्तेमाल की गई निजी कुंजी या पासवर्ड से नहीं।
परिणाम को व्यक्तिगत डेटा मानें, चाहे उसमें कोई गंतव्य न हो। जो रिकॉर्ड कहता है कि इस नामित कर्मचारी के पास छह महीने तक वित्त खंड में प्रशासनिक एक्सेस था, वह अपने आप में संवेदनशील है, इसलिए तय करें कि फ़ोल्डर कौन पढ़ सकता है और फ़ाइल को अनाम कहने के बजाय प्रशासनिक उद्देश्य के लिए प्रतिधारण अवधि तय करें।
ब्राउज़िंग डेटा अनुमोदन फ़ाइल में कहाँ से घुसता है
तीन रिसाव इसका अधिकांश हिस्सा समझाते हैं। हेल्पडेस्क टिकट में क्लाइंट की कनेक्शन विंडो का स्क्रीनशॉट होता है, कोई संदर्भ के लिए SIEM निर्यात चिपका देता है, या इन्वेंटरी रिपोर्ट अनुमोदन से जोड़ दी जाती है क्योंकि तब जोड़ना आसान था। हर अनुलग्नक ऐसी फ़ाइल में व्यवहार जोड़ता है जिसे केवल एक निर्णय चाहिए था। स्क्रीनशॉट अंदर आते ही समीक्षक पूछने लगता है कि उपयोगकर्ता कहाँ पहुँच रहा था, और फ़ाइल को फिर से वर्गीकृत करना पड़ता है।
जहाँ उपकरण अनुमति दे वहाँ अनुलग्नकों को संकेतों से बदलें। यदि नीति अनुलग्नक पर ज़ोर देती है, तो सत्र रिकॉर्डिंग नहीं, निर्णय का पाठ और अनुरोध का थ्रेड माँगें, और फ़ाइल सहेजने से पहले बाकी हटा दें। अनुमोदक का अपना संदेश आमतौर पर सबसे अच्छा साक्ष्य और सबसे कम खुलासा करने वाला होता है।
निशान के बिना दायरा सत्यापित करें
गेटवे नीति ही वह चीज़ है जो अनुमोदन को एक्सेस में बदलती है, इसलिए उसे सीधे परखें। अनुमोदित दायरे के भीतर के खाते से साइन इन करें और अनुमत संसाधन तक पहुँचें, फिर दायरे के बाहर का गंतव्य आज़माएँ और अस्वीकृति की पुष्टि करें, उसी क्लाइंट और विधि से जिसकी नीति अपेक्षा करती है, उसी होस्ट पर ब्राउज़र टैब से नहीं।
उपलब्धता निगरानी और घटना निदान अपनी दृश्यता रख सकते हैं, अपनी प्रतिधारण अवधि और अपनी एक्सेस सूची के अंतर्गत। इन दो उद्देश्यों को अलग रखना ही आपको ब्राउज़िंग निशान सौंपे बिना समीक्षक को उत्तर देने देता है, और कुछ वास्तव में टूटने पर निदान को उपयोगी बनाए रखता है।
अगली समीक्षा से पहले क्या जाँचें
पुष्टि करें कि फ़ॉर्म ऑडिटर के वाक्य का उत्तर देता है और उससे अधिक कुछ नहीं। जाँचें कि हर पंक्ति में अनुमोदक, अवधि और हटाने का स्वामी है। फिर फ़ोल्डर की अपनी एक्सेस सूची देखें और पूछें कि क्या वह VPN उपयोगकर्ता आधार से छोटी है।
अंतिम चरण वही है जिसे लोग छोड़ देते हैं। एक समाप्त अनुमोदन लें और यह देखने के लिए उसे पहचान प्रदाता तक ले जाएँ कि खाता वास्तव में अक्षम किया गया था या नहीं। यदि पहचान अभी भी सक्रिय है, तो रिकॉर्ड सटीक था और प्रक्रिया नहीं।