Come registrare le approvazioni di accesso alla VPN senza cronologia di navigazione

Due team chiedono lo stesso artefatto e intendono cose diverse. Il revisore vuole la prova che una persona nominata ha approvato un ruolo fino a una data, mentre il team di rete ha un registro del firewall pieno di destinazioni e presume che basti. Non basta, ed è per questo che le cartelle delle approvazioni si riempiono di nomi host e falliscono comunque la prima domanda di audit. Ciò che serve davvero è poco, e nulla di tutto ciò richiede di registrare dove qualcuno ha navigato.

La dimensione del registro segue tre condizioni: se l’approvazione è concessa per persona o per ruolo, se il diritto può sopravvivere al rapporto di lavoro della persona e se un contratto o un quadro cita la revisione degli accessi come prova richiesta.

Partite dalla domanda del revisore, non dalla connessione

Scrivete la domanda che un auditor porrebbe ad alta voce prima di scegliere un solo campo. Chi ha approvato l’accesso per questa identità, a cosa, tra quali date, e chi avrebbe dovuto rimuoverlo alla fine. Ogni campo del modulo deve rispondere a una parte di quella frase, e tutto ciò che non lo fa è inventario di cui avete appena assunto l’obbligo di protezione.

Quel test elimina la maggior parte di ciò che viene aggiunto per abitudine. Gli elenchi di destinazioni, le query DNS, i grafici di utilizzo delle applicazioni e le schermate di una sessione attiva descrivono tutti un comportamento. Il comportamento non è l’approvazione, e raccoglierlo sposta il fascicolo in una classe di sensibilità molto più alta, il che va contro l’obiettivo con cui avete iniziato.

Tre condizioni decidono quanto conservare

Le approvazioni per persona richiedono un’identità e una data di fine. Le approvazioni per ruolo richiedono il ruolo, l’ambito che concede e il proprietario della popolazione, perché elencare quaranta persone in una riga crea quaranta registri da mantenere e quaranta occasioni di mancare una cessazione. Dove il diritto può sopravvivere al rapporto di lavoro, aggiungete un proprietario della rimozione e una cadenza di revisione, dato che una data di scadenza in un foglio di calcolo raramente spinge qualcuno ad agire.

Quando un quadro cita la revisione degli accessi come prova richiesta, conservate l’artefatto che il processo di revisione già cita. Costruire una copia parallela per il team VPN è il modo in cui due versioni della stessa approvazione finiscono per discordare su una data di fine.

I campi che portano la decisione

L’insieme utilizzabile è breve: l’identità approvata, il richiedente, l’approvatore, l’ambito del ruolo o della risorsa, il motivo in una riga, la finestra di validità, il proprietario della revisione o della rimozione e un puntatore al ticket in cui la richiesta è stata argomentata. Fate riferimento al dispositivo o alla credenziale con un identificatore non segreto, come un’etichetta di asset o il soggetto del certificato, mai con la chiave privata né la password usata.

Trattate il risultato come dato personale anche se non contiene destinazioni. Un registro che dice che questo dipendente nominato ha avuto accesso amministrativo al segmento finanziario per sei mesi è sensibile di per sé, quindi delimitate chi può leggere la cartella e fissate una conservazione per la finalità amministrativa invece di definire il fascicolo anonimo.

Da dove la navigazione s’infiltra nel fascicolo di approvazione

Tre fughe spiegano la maggior parte del fenomeno. Un ticket di assistenza contiene una schermata della finestra di connessione del client, qualcuno incolla un’esportazione del SIEM per dare contesto, oppure un report di inventario viene unito all’approvazione perché allora l’unione era facile. Ogni allegato aggiunge comportamento a un fascicolo che richiedeva solo una decisione. Una volta che la schermata è dentro, il revisore inizia a chiedere a cosa stesse arrivando l’utente, e il fascicolo va riclassificato.

Sostituite gli allegati con puntatori ovunque lo strumento lo consenta. Se la policy insiste su un allegato, chiedete il testo della decisione e il thread della richiesta, non la registrazione della sessione, ed eliminate il resto prima che il fascicolo venga archiviato. Il messaggio dell’approvatore stesso è di solito la prova migliore e la meno rivelatrice.

Verificate l’ambito senza la traccia

È la policy del gateway che trasforma un’approvazione in accesso, quindi provatela direttamente. Accedete con un account dentro l’ambito approvato e raggiungete una risorsa consentita, poi provate una destinazione fuori dall’ambito e confermate il rifiuto, con il client e il metodo che la policy si aspetta, non con una scheda del browser sullo stesso host.

Il monitoraggio della disponibilità e la diagnostica degli incidenti possono conservare la propria visibilità, con la propria conservazione e il proprio elenco di accesso. Tenere separati questi due scopi è ciò che vi permette di rispondere al revisore senza consegnare una traccia di navigazione, e mantiene la diagnostica utile quando qualcosa si rompe davvero.

Cosa controllare prima della prossima revisione

Confermate che il modulo risponda alla frase dell’auditor e a nulla di più. Verificate che ogni riga porti un approvatore, una finestra e un proprietario della rimozione. Poi guardate l’elenco di accesso della cartella stessa e chiedete se è più piccolo della base utenti VPN.

L’ultimo passo è quello che la gente salta. Prendete un’approvazione scaduta e seguitela fino al provider di identità per vedere se l’account è stato davvero disabilitato. Se l’identità è ancora attiva, il registro era esatto e il processo no.