Како да евидентирате одобрувања за пристап до VPN без историја на прелистување

Два тима бараат истиот артефакт и подразбираат различни работи. Рецензентот сака доказ дека именувано лице одобрило улога до одреден датум, додека мрежниот тим има огненоѕиден дневник полн со дестинации и претпоставува дека тоа се брои. Не се брои, и затоа папките со одобрувања се полнат со имиња на домаќини и сепак паѓаат на првото ревизорско прашање. Она што навистина ви треба е малку, и ништо од тоа не бара да се запише каде некој прелистувал.

Големината на записот следи три услови: дали одобрувањето се дава по лице или по улога, дали правото може да го надживее работниот однос на лицето и дали договор или рамка го наведува прегледот на пристап како потребен доказ.

Започнете од прашањето на рецензентот, не од врската

Запишете го прашањето што ревизор би го поставил гласно пред да изберете и едно поле. Кој одобри пристап за овој идентитет, на што, помеѓу кои датуми и кој требаше да го отстрани на крајот. Секое поле во формуларот треба да одговори на дел од таа реченица, а сѐ што не го прави тоа е инвентар за кој штотуку ја презеде обврската да го заштитите.

Тој тест го отстранува најголемиот дел од она што се додава по навика. Списоци со дестинации, DNS барања, графикони за користење апликации и екрански слики од жива седница сите опишуваат однесување. Однесувањето не е одобрувањето, и неговото собирање го преместува досието во многу повисока класа на чувствителност, што работи против целта со која почнавте.

Три услови одлучуваат колку да задржите

Одобрувањата по лице бараат идентитет и краен датум. Одобрувањата по улога бараат улогата, опфатот што го дава и сопственикот на популацијата, зашто наведувањето четириесет луѓе во еден ред создава четириесет записи за одржување и четириесет шанси да се пропушти заминување. Онаму каде правото може да го надживее работниот однос, додајте сопственик на отстранувањето и ритам на преглед, бидејќи рокот во табела ретко некого поттикнува на дејство.

Кога рамката го наведува прегледот на пристап како потребен доказ, задржете го артефактот што процесот на преглед веќе го цитира. Изградбата на паралелна копија за VPN тимот е патот по кој две верзии на истото одобрување завршуваат во несогласување за крајниот датум.

Полињата што ја носат одлуката

Употребливиот сет е краток: одобрениот идентитет, барателот, одобрувачот, опфатот на улогата или ресурсот, причината во еден ред, прозорецот на важност, сопственикот на прегледот или отстранувањето и показател кон тикетот каде барањето е образложено. Повикајте се на уредот или акредитивот со не таен идентификатор, како ознака за средство или субјект на сертификат, никогаш со приватниот клуч или лозинката што се користеле.

Третирајте го резултатот како лични податоци иако не содржи дестинации. Записот што вели дека овој именуван вработен имал административен пристап до финансискиот сегмент шест месеци е чувствителен сам по себе, затоа ограничете кој може да ја чита папката и поставете рок на чување за административната цел, наместо досието да го наречете анонимно.

Од каде податоците за прелистување влегуваат во досието со одобрување

Три истекувања го објаснуваат најголемиот дел. Тикетот за поддршка носи екранска слика од прозорецот за врска на клиентот, некој вметнува извоз од SIEM за контекст, или извештајот за инвентар се припојува кон одобрувањето зашто тогаш спојувањето беше лесно. Секој прилог додава однесување во досие на кое му требаше само одлука. Откако екранската слика ќе влезе, рецензентот почнува да прашува до што допирал корисникот, и досието мора повторно да се класифицира.

Замените ги прилозите со показатели каде алатката го дозволува тоа. Ако политиката инсистира на прилог, побарајте го текстот на одлуката и низата на барањето, не снимката од седницата, и отстранете го остатокот пред досието да се зачува. Самата порака на одобрувачот обично е најдобриот доказ и најмалку открива.

Проверете го опфатот без трагата

Политиката на порталот е она што го претвора одобрувањето во пристап, затоа тестирајте ја директно. Најавете се со сметка во одобрениот опфат и достигнете дозволен ресурс, потоа обидете се со дестинација надвор од опфатот и потврдете го одбивањето, со клиентот и методот што ги очекува политиката, а не со јазиче на прелистувач на истиот домаќин.

Следењето на достапноста и дијагностиката на инциденти можат да ја задржат својата видливост, под сопствено чување и сопствен список за пристап. Одвојувањето на тие две намени е она што ви овозможува да му одговорите на рецензентот без да предадете трага од прелистување, и ја држи дијагностиката корисна кога нешто навистина се расипува.

Што да проверите пред следниот преглед

Потврдете дека формуларот одговара на реченицата на ревизорот и на ништо повеќе. Проверете дали секој ред носи одобрувач, прозорец и сопственик на отстранувањето. Потоа погледнете го сопствениот список за пристап на папката и прашајте дали е помал од базата на корисници на VPN.

Последниот чекор е оној што луѓето го прескокнуваат. Земете истечено одобрување и следете го до давателот на идентитет за да видите дали сметката навистина била оневозможена. Ако идентитетот е сѐ уште активен, записот бил точен, а процесот не.