როგორ ჩავიწეროთ VPN-ზე წვდომის დადასტურებები დათვალიერების ისტორიის გარეშე
შეინახეთ იდენტობა, დამამტკიცებელი და ვადა, ხოლო დანიშნულებათა სია გამოტოვეთ. სამი პირობა განსაზღვრავს, რამდენი დაგჭირდებათ წვდომის გადაწყვეტილებიდან საქმეში.
ორი გუნდი ერთსა და იმავე დოკუმენტს ითხოვს და სხვადასხვა რამეს გულისხმობს. მიმომხილველს სურს მტკიცებულება, რომ დასახელებულმა პირმა დაამტკიცა როლი გარკვეულ თარიღამდე, ხოლო ქსელურ გუნდს აქვს ქსელური ფარის ჟურნალი, სავსე დანიშნულებებით, და ფიქრობს, რომ ეს საკმარისია. არ არის საკმარისი, და სწორედ ამიტომ დადასტურებათა საქაღალდეები ივსება ჰოსტების სახელებით და მაინც ვარდება აუდიტის პირველ კითხვაზე. რაც ნამდვილად გჭირდებათ, ცოტაა, და მისი არც ერთი ნაწილი არ მოითხოვს ჩაწერას, თუ სად დაათვალიერა ვინმემ.
ჩანაწერის ზომა სამ პირობას მიჰყვება: დადასტურება ეძლევა პირზე თუ როლზე, შეუძლია თუ არა უფლებას გადააჭარბოს პირის შრომით ურთიერთობას, და ასახელებს თუ არა ხელშეკრულება ან ჩარჩო წვდომის გადახედვას როგორც სავალდებულო მტკიცებულებას.
დაიწყეთ მიმომხილველის კითხვით და არა კავშირით
ჩამოწერეთ კითხვა, რომელსაც აუდიტორი ხმამაღლა დასვამდა, სანამ ერთ ველსაც აირჩევთ. ვინ დაამტკიცა წვდომა ამ იდენტობისთვის, რაზე, რომელ თარიღებს შორის და ვინ უნდა მოეხსნა იგი ბოლოს. ფორმის ყველა ველი უნდა პასუხობდეს ამ წინადადების ნაწილს, და ყველაფერი, რაც ამას არ აკეთებს, არის ინვენტარი, რომლის დაცვის ვალდებულებაც ახლახან აიღეთ.
ეს გამოცდა შლის ჩვევით დამატებულის უმეტესობას. დანიშნულებათა სიები, DNS მოთხოვნები, აპლიკაციების გამოყენების გრაფიკები და ცოცხალი სეანსის ეკრანის ანაბეჭდები ყველა ქცევას აღწერს. ქცევა არ არის დადასტურება, და მისი შეგროვება საქმეს ბევრად უფრო მაღალ მგრძნობელობის კლასში გადააქვს, რაც ეწინააღმდეგება იმ მიზანს, რომლითაც დაიწყეთ.
სამი პირობა განსაზღვრავს, რამდენი შეინახოთ
პიროვნულ დადასტურებებს სჭირდება იდენტობა და დასრულების თარიღი. როლურ დადასტურებებს სჭირდება როლი, მის მიერ მიცემული არეალი და პოპულაციის მფლობელი, რადგან ორმოცი ადამიანის ერთ რიგში ჩამოთვლა ქმნის ორმოც ჩანაწერს მოსავლელად და ორმოც შანსს გამოტოვოთ ვინმეს წასვლა. სადაც უფლებამ შეიძლება გადააჭარბოს შრომით ურთიერთობას, დაამატეთ მოხსნის მფლობელი და გადახედვის რიტმი, რადგან ცხრილში მოცემული ვადა იშვიათად აიძულებს ვინმეს იმოქმედოს.
| Condition | Add to the record | Leave out |
|---|---|---|
| Approved per person | Identity, approver, expiry | Device telemetry |
| Approved per role | Role, scope, population owner | Per-user destinations |
| Outlives employment | Removal owner, review date | Session transcripts |
| Named in a contract | The cited artifact and its revision | A second, friendlier copy |
როცა ჩარჩო წვდომის გადახედვას სავალდებულო მტკიცებულებად ასახელებს, შეინახეთ ის დოკუმენტი, რომელზეც გადახედვის პროცესი უკვე მიუთითებს. VPN გუნდისთვის პარალელური ასლის აგება ის გზაა, რომლითაც ერთი და იმავე დადასტურების ორი ვერსია საბოლოოდ ვადაზე ვერ თანხმდება.
ველები, რომლებიც ატარებენ გადაწყვეტილებას
სამუშაო ნაკრები მოკლეა: დამტკიცებული იდენტობა, მომთხოვნი, დამამტკიცებელი, როლის ან რესურსის არეალი, მიზეზი ერთ ხაზში, მოქმედების ფანჯარა, გადახედვის ან მოხსნის მფლობელი და მითითება იმ ბილეთზე, სადაც მოთხოვნა განიხილეს. მოწყობილობაზე ან სერტიფიკატზე მიუთითეთ არასაიდუმლო იდენტიფიკატორით, მაგალითად აქტივის ნიშნით ან სერტიფიკატის სუბიექტით, არასოდეს გამოყენებული კერძო გასაღებით ან პაროლით.
შედეგს მოეპყარით როგორც პირად მონაცემს, თუნდაც ის არ შეიცავდეს დანიშნულებებს. ჩანაწერი, რომელიც ამბობს, რომ ამ დასახელებულ თანამშრომელს ექვსი თვის განმავლობაში ჰქონდა ადმინისტრაციული წვდომა ფინანსურ სეგმენტზე, თავისთავად მგრძნობიარეა, ამიტომ განსაზღვრეთ, ვის შეუძლია საქაღალდის წაკითხვა, და დააწესეთ შენახვის ვადა ადმინისტრაციული მიზნისთვის, ნაცვლად იმისა, რომ საქმეს ანონიმური უწოდოთ.
საიდან ჟონავს დათვალიერების მონაცემები დადასტურების საქმეში
სამი გაჟონვა ხსნის მის უმეტესობას. დახმარების ბილეთს აქვს კლიენტის კავშირის ფანჯრის ეკრანის ანაბეჭდი, ვიღაც კონტექსტისთვის ჩასვამს SIEM-ის ექსპორტს, ან ინვენტარიზაციის ანგარიში უერთდება დადასტურებას, რადგან მაშინ გაერთიანება ადვილი იყო. ყოველი დანართი ქცევას მატებს საქმეს, რომელსაც მხოლოდ გადაწყვეტილება სჭირდებოდა. როგორც კი ანაბეჭდი შიგნით არის, მიმომხილველი იწყებს კითხვას, რას უახლოვდებოდა მომხმარებელი, და საქმე ხელახლა უნდა დაიყოს კატეგორიებად.
შეცვალეთ დანართები მითითებებით, სადაც ხელსაწყო იძლევა საშუალებას. თუ პოლიტიკა დანართს მოითხოვს, მოითხოვეთ გადაწყვეტილების ტექსტი და მოთხოვნის ნაკადი და არა სეანსის ჩანაწერი, და დანარჩენი წაშალეთ საქმის შენახვამდე. დამამტკიცებლის საკუთარი შეტყობინება ჩვეულებრივ საუკეთესო მტკიცებულებაა და ყველაზე ნაკლებად გამომჟღავნებელი.
შეამოწმეთ არეალი კვალის გარეშე
ჭიშკრის პოლიტიკაა ის, რაც დადასტურებას წვდომად აქცევს, ამიტომ შეამოწმეთ ის პირდაპირ. შედით დამტკიცებული არეალის შიგნით არსებული ანგარიშით და მიაღწიეთ დაშვებულ რესურსს, შემდეგ სცადეთ არეალის გარეთ არსებული დანიშნულება და დაადასტურეთ უარი, იმ კლიენტითა და მეთოდით, რომელსაც პოლიტიკა ელოდება, და არა ბრაუზერის ჩანართით იმავე ჰოსტზე.
ხელმისაწვდომობის მონიტორინგი და ინციდენტების დიაგნოსტიკა შეიძლება ინარჩუნებდეს საკუთარ ხილვადობას, საკუთარი შენახვის ვადისა და საკუთარი წვდომის სიის ქვეშ. ამ ორი მიზნის განცალკევება გაძლევთ საშუალებას უპასუხოთ მიმომხილველს დათვალიერების კვალის გადაცემის გარეშე, და ინარჩუნებს დიაგნოსტიკას სასარგებლოდ, როცა რამე ნამდვილად ფუჭდება.
რა უნდა შემოწმდეს შემდეგ გადახედვამდე
დაადასტურეთ, რომ ფორმა პასუხობს აუდიტორის წინადადებას და მეტს არაფერს. შეამოწმეთ, რომ ყოველ რიგს აქვს დამამტკიცებელი, ფანჯარა და მოხსნის მფლობელი. შემდეგ შეხედეთ თავად საქაღალდის წვდომის სიას და იკითხეთ, არის თუ არა ის VPN მომხმარებელთა ბაზაზე პატარა.
ბოლო ნაბიჯია ის, რასაც ხალხი გამოტოვებს. აიღეთ ვადაგასული დადასტურება და მიჰყევით იდენტობის მომწოდებლამდე, რომ ნახოთ, ნამდვილად გამოირთო თუ არა ანგარიში. თუ იდენტობა კვლავ აქტიურია, ჩანაწერი ზუსტი იყო, პროცესი კი არა.