Hogyan dokumentáljuk a VPN-hozzáférések jóváhagyását böngészési előzmények nélkül
Tartsa meg az identitást, a jóváhagyót és a lejáratot, a célállomások listáját pedig hagyja ki. Három feltétel dönti el, mennyi kell a hozzáférési döntésből valóban az iratba.
Két csapat ugyanazt az artefaktumot kéri, és mást ért rajta. A bíráló azt akarja bizonyítani, hogy egy megnevezett személy jóváhagyott egy szerepkört egy adott dátumig, a hálózati csapatnak viszont tele van a tűzfalnaplója célállomásokkal, és azt feltételezi, hogy ez számít. Nem számít, és ezért telnek meg a jóváhagyási mappák gépnevekkel, és buknak meg mégis az első auditkérdésnél. Amire valóban szükség van, az kevés, és egyik sem igényli annak rögzítését, ki hol böngészett.
Az irat mérete három feltételt követ: a jóváhagyás személyenként vagy szerepkörönként szól-e, a jogosultság túlélheti-e a személy munkaviszonyát, és hivatkozik-e szerződés vagy keretrendszer a hozzáférés-felülvizsgálatra mint előírt bizonyítékra.
A bíráló kérdésével kezdje, ne a kapcsolattal
Írja le a kérdést, amelyet egy auditor hangosan feltenne, mielőtt egyetlen mezőt kiválasztana. Ki hagyta jóvá a hozzáférést ehhez az identitáshoz, mihez, mely dátumok között, és kinek kellett volna a végén eltávolítania. Az űrlap minden mezőjének ennek a mondatnak egy részét kell megválaszolnia, és minden, ami ezt nem teszi, olyan leltár, amelynek védelmét éppen most vállalta.
Ez a próba eltávolítja a szokásból hozzáadottak nagy részét. A célállomás-listák, a DNS-lekérdezések, az alkalmazáshasználati grafikonok és egy élő munkamenet képernyőképei mind viselkedést írnak le. A viselkedés nem a jóváhagyás, és gyűjtése sokkal magasabb érzékenységi osztályba helyezi az iratot, ami az ellen a cél ellen hat, amellyel elkezdte.
Három feltétel dönti el, mennyit tartson meg
A személyenkénti jóváhagyásokhoz identitás és lejárati dátum kell. A szerepkörönkénti jóváhagyásokhoz a szerepkör, az általa adott hatókör és a populáció tulajdonosa kell, mert negyven ember egy sorban való felsorolása negyven karbantartandó rekordot és negyven esélyt teremt egy távozás elmulasztására. Ahol a jogosultság túlélheti a munkaviszonyt, adjon hozzá eltávolítási tulajdonost és felülvizsgálati ritmust, mivel egy táblázatban szereplő lejárati dátum ritkán késztet bárkit cselekvésre.
| Condition | Add to the record | Leave out |
|---|---|---|
| Approved per person | Identity, approver, expiry | Device telemetry |
| Approved per role | Role, scope, population owner | Per-user destinations |
| Outlives employment | Removal owner, review date | Session transcripts |
| Named in a contract | The cited artifact and its revision | A second, friendlier copy |
Amikor egy keretrendszer előírt bizonyítékként nevezi meg a hozzáférés-felülvizsgálatot, tartsa meg azt az artefaktumot, amelyre a felülvizsgálati folyamat már hivatkozik. Párhuzamos másolat építése a VPN-csapatnak az az út, amelyen ugyanazon jóváhagyás két változata végül vitatkozik egy lejárati dátumról.
A döntést hordozó mezők
A használható készlet rövid: a jóváhagyott identitás, a kérelmező, a jóváhagyó, a szerepkör vagy erőforrás hatóköre, az indok egy sorban, az érvényességi ablak, a felülvizsgálat vagy eltávolítás tulajdonosa, és egy mutató arra a jegyre, ahol a kérelmet megvitatták. A eszközre vagy hitelesítő adatra nem titkos azonosítóval hivatkozzon, például eszközcímkével vagy a tanúsítvány alanyával, soha ne a használt privát kulccsal vagy jelszóval.
Kezelje az eredményt személyes adatként akkor is, ha nem tartalmaz célállomásokat. Egy rekord, amely szerint ez a megnevezett munkavállaló hat hónapig adminisztratív hozzáféréssel rendelkezett a pénzügyi szegmenshez, önmagában érzékeny, ezért határozza meg, ki olvashatja a mappát, és állítson be megőrzést az adminisztratív célra ahelyett, hogy névtelennek nevezné az iratot.
Honnan szivárog be a böngészési adat a jóváhagyási iratba
Három szivárgás magyarázza a legtöbbet. Az ügyfélszolgálati jegyen az ügyfél kapcsolódási ablakáról készült képernyőkép van, valaki beilleszt egy SIEM-exportot a kontextus kedvéért, vagy egy leltárjelentés csatolódik a jóváhagyáshoz, mert akkor könnyű volt az összekapcsolás. Minden melléklet viselkedést ad egy irathoz, amelynek csak egy döntésre volt szüksége. Amint a képernyőkép bent van, a bíráló kérdezni kezdi, mihez ért el a felhasználó, és az iratot újra kell sorolni.
Ahol az eszköz engedi, cserélje a mellékleteket mutatókra. Ha a szabályzat ragaszkodik a melléklethez, a döntés szövegét és a kérelem szálát kérje, ne a munkamenet felvételét, és a többit távolítsa el az irat mentése előtt. A jóváhagyó saját üzenete általában a legjobb bizonyíték és a legkevésbé felfedő.
Ellenőrizze a hatókört a nyom nélkül
Az átjáró szabályzata az, ami a jóváhagyást hozzáféréssé teszi, ezért közvetlenül tesztelje. Jelentkezzen be a jóváhagyott hatókörön belüli fiókkal, és érjen el egy engedélyezett erőforrást, majd próbáljon ki egy hatókörön kívüli célállomást, és igazolja az elutasítást, azzal az ügyféllel és módszerrel, amelyet a szabályzat elvár, nem pedig egy böngészőfüllel ugyanazon a gazdagépen.
A rendelkezésre állás monitorozása és az incidensdiagnosztika megtarthatja a saját láthatóságát, saját megőrzése és saját hozzáférési listája alatt. Ennek a két célnak a szétválasztása az, ami lehetővé teszi, hogy böngészési nyom átadása nélkül válaszoljon a bírálónak, és hasznossá tartja a diagnosztikát, amikor valami tényleg elromlik.
Mit ellenőrizzen a következő felülvizsgálat előtt
Erősítse meg, hogy az űrlap az auditor mondatára válaszol, és semmi másra. Ellenőrizze, hogy minden sor hordoz jóváhagyót, ablakot és eltávolítási tulajdonost. Aztán nézze meg a mappa saját hozzáférési listáját, és kérdezze meg, kisebb-e, mint a VPN felhasználói bázisa.
Az utolsó lépés az, amelyet az emberek kihagynak. Vegyen egy lejárt jóváhagyást, és kövesse az identitásszolgáltatóig, hogy lássa, valóban letiltották-e a fiókot. Ha az identitás még aktív, a rekord pontos volt, a folyamat nem.