VPN қатынау рұқсаттарын шолу тарихынсыз қалай тіркеуге болады
Сәйкестікті, бекітушіні және мерзімін сақтаңыз, ал мақсаттар тізімін қалдырып кетіңіз. Қатынау шешімінің қаншасын шынымен іске сақтау керегін үш шарт анықтайды.
Екі топ бір құжатты сұрайды және оған әртүрлі мағына береді. Шолушы аталған адам белгілі бір күнге дейін рөлді бекіткенін дәлелдеуді қалайды, ал желілік топтың қолында мақсаттарға толы өртқабырға журналы бар және оны жеткілікті деп санайды. Ол жеткіліксіз, сондықтан бекіту қалталары хост атауларына толады да, бәрібір аудиттің бірінші сұрағынан өтпейді. Шынымен қажет нәрсе аз, және оның ешқайсысы біреудің қайда шолғанын жазуға міндеттемейді.
Жазбаның көлемі үш шартқа бағынады: бекіту адамға немесе рөлге беріле ме, құқық адамның еңбек қатынасынан кейін де өмір сүре ала ма, және шарт немесе негіздеме қатынауды шолуды талап етілетін дәлел ретінде атай ма.
Қосылымнан емес, шолушының сұрағынан бастаңыз
Бір өрісті таңдамас бұрын аудитор дауыстап қоятын сұрақты жазып алыңыз. Бұл сәйкестік үшін қатынауды кім бекітті, неге, қай күндер арасында және соңында оны кім алып тастауы керек еді. Нысандағы әр өріс сол сөйлемнің бір бөлігіне жауап беруі керек, ал олай жасамайтынның бәрі — қорғау міндетін жаңа ғана өз мойныңызға алған тізім.
Бұл сынақ әдет бойынша қосылатынның көбін алып тастайды. Мақсаттар тізімдері, DNS сұраныстары, қосымша қолдану графиктері және тірі сессияның экран суреттері — бәрі мінез-құлықты сипаттайды. Мінез-құлық бекіту емес, оны жинау құжатты әлдеқайда жоғары сезімталдық сыныбына көшіреді, бұл бастаған мақсатыңызға қарсы әрекет етеді.
Қанша сақтау керегін үш шарт шешеді
Адамға берілген бекітулерге сәйкестік пен аяқталу күні қажет. Рөлге берілген бекітулерге рөл, оның беретін ауқымы және популяция иесі қажет, өйткені бір жолға қырық адамды тізу ұстауға қырық жазба және біреудің кетуін өткізіп жіберудің қырық мүмкіндігін жасайды. Құқық еңбек қатынасынан кейін де өмір сүре алатын жерде жою иесі мен шолу ырғағын қосыңыз, өйткені кестедегі мерзім адамды әрекетке сирек итермелейді.
| Condition | Add to the record | Leave out |
|---|---|---|
| Approved per person | Identity, approver, expiry | Device telemetry |
| Approved per role | Role, scope, population owner | Per-user destinations |
| Outlives employment | Removal owner, review date | Session transcripts |
| Named in a contract | The cited artifact and its revision | A second, friendlier copy |
Негіздеме қатынауды шолуды талап етілетін дәлел деп атаса, шолу процесі әлдеқашан сілтеме жасайтын құжатты сақтаңыз. VPN тобы үшін қатар көшірме жасау — бір бекітудің екі нұсқасының мерзім туралы келіспеуіне апарар жол.
Шешімді көтеретін өрістер
Жарамды жиын қысқа: бекітілген сәйкестік, сұраушы, бекітуші, рөл немесе ресурс ауқымы, бір жолдағы себеп, әрекет ету терезесі, шолу немесе жою иесі, және сұраныс талқыланған билетке сілтеме. Құрылғыға немесе тіркелгі деректеріне құпия емес идентификатормен сілтеңіз, мысалы актив белгісі немесе сертификат субъектісі, ешқашан пайдаланылған жеке кілтпен немесе құпиясөзбен емес.
Нәтижені мақсаттар жоқ болса да дербес деректер ретінде қарастырыңыз. Бұл аталған қызметкердің алты ай бойы қаржы сегментіне әкімшілік қатынауы болғанын айтатын жазба өздігінен сезімтал, сондықтан қалтаны кім оқи алатынын шектеп, құжатты анонимді деп атаудың орнына әкімшілік мақсат үшін сақтау мерзімін белгілеңіз.
Шолу деректері бекіту ісіне қайдан кіреді
Үш ағып кету оның көбін түсіндіреді. Анықтама үстелінің билетінде клиенттің қосылым терезесінің экран суреті болады, біреу контекст үшін SIEM экспортын қояды, немесе түгендеу есебі бекітуге қосылады, өйткені ол кезде біріктіру оңай еді. Әр қосымша тек шешім қажет еткен құжатқа мінез-құлық қосады. Экран суреті кірген соң шолушы пайдаланушының неге жетпек болғанын сұрай бастайды, ал құжатты қайта жіктеу керек.
Құрал рұқсат берген жерде қосымшаларды сілтемелермен алмастырыңыз. Саясат қосымшаны талап етсе, сессия жазбасын емес, шешім мәтінін және сұраныс тармағын сұраңыз, ал қалғанын құжат сақталмай тұрып алып тастаңыз. Бекітушінің өз хабарламасы әдетте ең жақсы дәлел және ең аз ашатын дәлел.
Ауқымды ізсіз тексеріңіз
Бекітуді қатынауға айналдыратын нәрсе — қақпа саясаты, сондықтан оны тікелей сынаңыз. Бекітілген ауқымның ішіндегі тіркелгімен кіріп, рұқсат етілген ресурсқа жетіңіз, содан кейін ауқымнан тыс мақсатты байқап көріп, бас тартуды растаңыз, саясат күтетін клиент пен әдіспен, сол хосттағы браузер қойындысымен емес.
Қолжетімділікті бақылау және оқиға диагностикасы өз көрінуін өз сақтау мерзімі мен өз қатынау тізімінің аясында ұстай алады. Осы екі мақсатты бөлек ұстау шолу ізін тапсырмай-ақ шолушыға жауап беруге мүмкіндік береді және бірдеңе шынымен бұзылғанда диагностиканы пайдалы күйде сақтайды.
Келесі шолуға дейін нені тексеру керек
Нысан аудитордың сөйлеміне жауап беретініне және одан артық емес екеніне көз жеткізіңіз. Әр жолда бекітуші, терезе және жою иесі бар екенін тексеріңіз. Содан кейін қалтаның өз қатынау тізіміне қарап, ол VPN пайдаланушылар базасынан кіші ме деп сұраңыз.
Соңғы қадам — адамдар өткізіп жіберетін қадам. Мерзімі біткен бекітуді алып, тіркелгі шынымен өшірілгенін білу үшін оны сәйкестік провайдеріне дейін бақылаңыз. Егер сәйкестік әлі белсенді болса, жазба дәл болды, процесс емес.