VPN-toegangsgoedkeuringen vastleggen zonder browsergeschiedenis

Twee teams vragen om hetzelfde artefact en bedoelen er verschillende dingen mee. De reviewer wil bewijs dat een genoemde persoon een rol tot een datum heeft goedgekeurd, terwijl het netwerkteam een firewalllog vol bestemmingen heeft en aanneemt dat die telt. Die telt niet, en daarom raken goedkeuringsmappen vol hostnamen en falen ze toch op de eerste auditvraag. Wat u werkelijk nodig hebt is weinig, en niets daarvan vereist vast te leggen waar iemand heeft gebrowset.

De omvang van het record volgt drie voorwaarden: of de goedkeuring per persoon of per rol wordt gegeven, of het recht het dienstverband van de persoon kan overleven, en of een contract of kader de toegangsreview als vereist bewijs noemt.

Begin bij de vraag van de reviewer, niet bij de verbinding

Schrijf de vraag op die een auditor hardop zou stellen voordat u één veld kiest. Wie keurde de toegang voor deze identiteit goed, waarvoor, tussen welke data, en wie had die aan het eind moeten intrekken. Elk veld op het formulier moet een deel van die zin beantwoorden, en alles wat dat niet doet is inventaris waarvoor u zojuist de verplichting hebt aanvaard om het te beschermen.

Die test verwijdert het meeste van wat uit gewoonte wordt toegevoegd. Bestemmingslijsten, DNS-query’s, gebruiksgrafieken van applicaties en schermafbeeldingen van een live sessie beschrijven allemaal gedrag. Gedrag is niet de goedkeuring, en het verzamelen ervan verplaatst het dossier naar een veel hogere gevoeligheidsklasse, wat tegen het doel indruist waarmee u begon.

Drie voorwaarden bepalen hoeveel u bewaart

Goedkeuringen per persoon vragen om een identiteit en een einddatum. Goedkeuringen per rol vragen om de rol, de reikwijdte die die geeft en de eigenaar van de populatie, want veertig mensen in één rij opsommen creëert veertig records om te onderhouden en veertig kansen om een vertrek te missen. Waar het recht het dienstverband kan overleven, voegt u een eigenaar voor het intrekken en een reviewritme toe, omdat een vervaldatum in een spreadsheet zelden iemand tot handelen aanzet.

Wanneer een kader de toegangsreview als vereist bewijs noemt, bewaar dan het artefact dat het reviewproces al citeert. Een parallelle kopie voor het VPN-team bouwen is de manier waarop twee versies van dezelfde goedkeuring het uiteindelijk oneens worden over een einddatum.

De velden die de beslissing dragen

De bruikbare set is kort: de goedgekeurde identiteit, de aanvrager, de goedkeurder, de rol- of resourceomvang, de reden op één regel, het geldigheidsvenster, de eigenaar van de review of het intrekken, en een verwijzing naar de ticket waarin het verzoek is beargumenteerd. Verwijs naar het apparaat of de inloggegevens met een niet-geheime identificatie zoals een activalabel of het certificaatonderwerp, nooit met de privésleutel of het wachtwoord dat is gebruikt.

Behandel het resultaat als persoonsgegevens, ook als het geen bestemmingen bevat. Een record dat zegt dat deze genoemde medewerker zes maanden administratieve toegang tot het financiële segment had, is op zichzelf gevoelig, dus beperk wie de map mag lezen en stel bewaring in voor het administratieve doel in plaats van het dossier anoniem te noemen.

Waar browsedata in het goedkeuringsdossier sluipt

Drie lekken verklaren het meeste. Een servicedeskticket bevat een schermafbeelding van het verbindingsvenster van de client, iemand plakt een SIEM-export voor context erin, of een inventarisrapport wordt aan de goedkeuring gekoppeld omdat de koppeling toen makkelijk was. Elk bijlagenstuk voegt gedrag toe aan een dossier dat alleen een beslissing nodig had. Zodra de schermafbeelding binnen is, begint de reviewer te vragen waar de gebruiker bij probeerde te komen, en moet het dossier opnieuw worden geclassificeerd.

Vervang bijlagen door verwijzingen waar de tool dat toestaat. Als het beleid op een bijlage staat, vraag dan de beslissingstekst en de aanvraagthread, niet de sessie-opname, en verwijder de rest voordat het dossier wordt opgeslagen. Het bericht van de goedkeurder zelf is meestal het beste bewijs en het minst onthullende.

Controleer de reikwijdte zonder het spoor

Het gatewaybeleid is wat een goedkeuring in toegang verandert, dus test het rechtstreeks. Log in met een account binnen de goedgekeurde reikwijdte en bereik een toegestane resource, probeer daarna een bestemming buiten de reikwijdte en bevestig de weigering, met de client en methode die het beleid verwacht, niet met een browsertab op dezelfde host.

Beschikbaarheidsmonitoring en incidentdiagnostiek mogen hun eigen zichtbaarheid houden, onder hun eigen bewaring en hun eigen toegangslijst. Die twee doelen gescheiden houden is wat u in staat stelt de reviewer te antwoorden zonder een browserspoor over te dragen, en het houdt de diagnostiek bruikbaar wanneer er echt iets stukgaat.

Wat u vóór de volgende review controleert

Bevestig dat het formulier de zin van de auditor beantwoordt en niets meer. Controleer dat elke rij een goedkeurder, een venster en een eigenaar voor het intrekken heeft. Kijk daarna naar de toegangslijst van de map zelf en vraag of die kleiner is dan de VPN-gebruikersbasis.

De laatste stap is degene die mensen overslaan. Neem een verlopen goedkeuring en volg die naar de identiteitsprovider om te zien of het account echt is uitgeschakeld. Als de identiteit nog actief is, was het record juist en het proces niet.