Kaip registruoti VPN prieigos patvirtinimus be naršymo istorijos
Palikite tapatybę, tvirtintoją ir galiojimo pabaigą, o paskirties svetainių sąrašą praleiskite. Trys sąlygos nustato, kiek prieigos sprendimo iš tikrųjų reikia turėti byloje.
Dvi komandos prašo to paties artefakto ir turi omenyje skirtingus dalykus. Peržiūrėtojas nori įrodymo, kad nurodytas asmuo patvirtino vaidmenį iki tam tikros datos, o tinklo komanda turi ugniasienės žurnalą, pilną paskirties svetainių, ir mano, kad jo pakanka. Nepakanka, ir todėl patvirtinimų aplankai pilni prieglobos vardų, bet vis tiek nepraeina pirmojo audito klausimo. Iš tikrųjų reikia nedaug, ir nieko iš to nereikalauja registruoti, kur kas nors naršė.
Įrašo dydis priklauso nuo trijų sąlygų: ar patvirtinimas suteikiamas asmeniui, ar vaidmeniui, ar teisė gali išgyventi asmens darbo santykius, ir ar sutartis ar sistema nurodo prieigos peržiūrą kaip privalomą įrodymą.
Pradėkite nuo peržiūrėtojo klausimo, o ne nuo ryšio
Užsirašykite klausimą, kurį auditorius garsiai užduotų, prieš pasirinkdami vieną lauką. Kas patvirtino prieigą šiai tapatybei, kam, tarp kurių datų ir kas turėjo ją pašalinti pabaigoje. Kiekvienas formos laukas turi atsakyti į dalį to sakinio, o visa, kas to nedaro, yra inventorius, už kurio apsaugą ką tik prisiėmėte pareigą.
Šis testas pašalina didžiąją dalį to, kas pridedama iš įpročio. Paskirties svetainių sąrašai, DNS užklausos, programų naudojimo grafikai ir gyvos sesijos ekrano kopijos visi aprašo elgesį. Elgesys nėra patvirtinimas, o jo rinkimas perkelia bylą į daug aukštesnę jautrumo klasę, o tai prieštarauja tikslui, su kuriuo pradėjote.
Trys sąlygos nustato, kiek laikyti
Asmeniui suteikti patvirtinimai reikalauja tapatybės ir pabaigos datos. Vaidmeniui suteikti patvirtinimai reikalauja vaidmens, jo suteikiamos apimties ir populiacijos savininko, nes keturiasdešimt žmonių vienoje eilutėje sukuria keturiasdešimt įrašų, kuriuos reikia prižiūrėti, ir keturiasdešimt galimybių praleisti išėjimą. Kai teisė gali išgyventi darbo santykius, pridėkite šalinimo savininką ir peržiūros ritmą, nes galiojimo pabaigos data skaičiuoklėje retai priverčia ką nors veikti.
| Condition | Add to the record | Leave out |
|---|---|---|
| Approved per person | Identity, approver, expiry | Device telemetry |
| Approved per role | Role, scope, population owner | Per-user destinations |
| Outlives employment | Removal owner, review date | Session transcripts |
| Named in a contract | The cited artifact and its revision | A second, friendlier copy |
Kai sistema nurodo prieigos peržiūrą kaip privalomą įrodymą, saugokite tą artefaktą, į kurį peržiūros procesas jau nurodo. Lygiagrečios kopijos kūrimas VPN komandai yra kelias, kuriuo dvi to paties patvirtinimo versijos pradeda nesutarti dėl pabaigos datos.
Laukai, kurie neša sprendimą
Veikiantis rinkinys trumpas: patvirtinta tapatybė, prašytojas, tvirtintojas, vaidmens ar ištekliaus apimtis, priežastis vienoje eilutėje, galiojimo langas, peržiūros ar šalinimo savininkas ir nuoroda į bilietą, kuriame prašymas buvo argumentuotas. Įrenginį ar prisijungimo duomenis nurodykite ne slaptu identifikatoriumi, pavyzdžiui, turto žyma ar sertifikato subjektu, niekada naudotu privačiu raktu ar slaptažodžiu.
Traktuokite rezultatą kaip asmens duomenis, net jei jame nėra paskirties svetainių. Įrašas, kuriame sakoma, kad šis nurodytas darbuotojas šešis mėnesius turėjo administracinę prieigą prie finansų segmento, yra jautrus savaime, todėl apibrėžkite, kas gali skaityti aplanką, ir nustatykite saugojimą administraciniam tikslui, o ne vadinkite bylą anonimine.
Kur naršymo duomenys patenka į patvirtinimo bylą
Trys nutekėjimai paaiškina didžiąją dalį. Pagalbos tarnybos biliete yra kliento ryšio lango ekrano kopija, kažkas įklijuoja SIEM eksportą kontekstui, arba inventorizacijos ataskaita prijungiama prie patvirtinimo, nes tada sujungti buvo lengva. Kiekvienas priedas prideda elgesio bylai, kuriai reikėjo tik sprendimo. Kai ekrano kopija jau viduje, peržiūrėtojas pradeda klausti, ko naudotojas siekė, ir bylą reikia perkvalifikuoti.
Kur įrankis leidžia, priedus pakeiskite nuorodomis. Jei politika reikalauja priedo, prašykite sprendimo teksto ir prašymo gijos, o ne sesijos įrašo, ir pašalinkite likusią dalį prieš išsaugant bylą. Paties tvirtintojo žinutė paprastai yra geriausias įrodymas ir mažiausiai atskleidžiantis.
Patikrinkite apimtį be pėdsakų
Vartų politika yra tai, kas patvirtinimą paverčia prieiga, todėl išbandykite ją tiesiogiai. Prisijunkite paskyra, esančia patvirtintoje apimtyje, ir pasiekite leidžiamą išteklių, tada pabandykite paskirties svetainę už apimties ir patvirtinkite atmetimą, naudodami klientą ir metodą, kurių tikisi politika, o ne naršyklės skirtuką tame pačiame prieglobos kompiuteryje.
Prieinamumo stebėjimas ir incidentų diagnostika gali turėti savo matomumą, pagal savo saugojimą ir savo prieigos sąrašą. Šių dviejų tikslų atskyrimas leidžia atsakyti peržiūrėtojui neperduodant naršymo pėdsako, ir išlaiko diagnostiką naudingą, kai kažkas tikrai sugenda.
Ką patikrinti prieš kitą peržiūrą
Patvirtinkite, kad forma atsako į auditoriaus sakinį ir nieko daugiau. Patikrinkite, ar kiekvienoje eilutėje yra tvirtintojas, langas ir šalinimo savininkas. Tada pažiūrėkite į paties aplanko prieigos sąrašą ir paklauskite, ar jis mažesnis už VPN naudotojų bazę.
Paskutinis žingsnis yra tas, kurį žmonės praleidžia. Paimkite pasibaigusį patvirtinimą ir sekite jį iki tapatybės teikėjo, kad pamatytumėte, ar paskyra tikrai buvo išjungta. Jei tapatybė vis dar aktyvi, įrašas buvo tikslus, o procesas ne.