Slik dokumenterer du VPN-tilgangsgodkjenninger uten nettleserhistorikk

To team ber om samme artefakt og mener ulike ting med det. Revisoren vil ha bevis for at en navngitt person godkjente en rolle frem til en dato, mens nettverksteamet har en brannmurlogg full av destinasjoner og antar at den teller. Det gjør den ikke, og derfor fylles godkjenningsmapper med vertsnavn og feiler likevel på det første revisjonsspørsmålet. Det du faktisk trenger er lite, og ingenting av det krever å registrere hvor noen har nettleset.

Størrelsen på oppføringen følger tre vilkår: om godkjenningen gis per person eller per rolle, om rettigheten kan overleve personens ansettelse, og om en kontrakt eller et rammeverk nevner tilgangsrevisjonen som påkrevd bevis.

Start med revisorens spørsmål, ikke med tilkoblingen

Skriv ned spørsmålet en revisor ville stilt høyt før du velger ett eneste felt. Hvem godkjente tilgang for denne identiteten, til hva, mellom hvilke datoer, og hvem skulle fjerne den til slutt. Hvert felt på skjemaet må svare på en del av den setningen, og alt som ikke gjør det, er inventar du nettopp har påtatt deg plikten til å beskytte.

Den testen fjerner det meste av det som legges til av vane. Destinasjonslister, DNS-spørringer, bruksgrafer for applikasjoner og skjermbilder av en levende økt beskriver alle atferd. Atferd er ikke godkjenningen, og å samle den flytter saken til en mye høyere følsomhetsklasse, noe som jobber mot målet du startet med.

Tre vilkår avgjør hvor mye du skal beholde

Godkjenninger per person trenger en identitet og en sluttdato. Godkjenninger per rolle trenger rollen, omfanget den gir og eieren av populasjonen, fordi å liste førti personer på én linje skaper førti oppføringer å vedlikeholde og førti sjanser til å overse en avgang. Der rettigheten kan overleve ansettelsen, legg til en eier for fjerningen og en revisjonsrytme, siden en utløpsdato i et regneark sjelden får noen til å handle.

Når et rammeverk nevner tilgangsrevisjonen som påkrevd bevis, behold artefakten som revisjonsprosessen allerede viser til. Å bygge en parallell kopi for VPN-teamet er måten to versjoner av samme godkjenning ender med å være uenige om en sluttdato.

Feltene som bærer beslutningen

Det brukbare settet er kort: den godkjente identiteten, forespørreren, godkjenneren, rolle- eller ressursomfanget, begrunnelsen på én linje, gyldighetsvinduet, eieren av revisjonen eller fjerningen, og en peker til saken der forespørselen ble drøftet. Vis til enheten eller legitimasjonen med en ikke-hemmelig identifikator som en aktivumsmerking eller sertifikatets subjekt, aldri med den private nøkkelen eller passordet som ble brukt.

Behandle resultatet som personopplysninger selv om det ikke inneholder destinasjoner. En oppføring som sier at denne navngitte ansatte hadde administrativ tilgang til finanssegmentet i seks måneder, er følsom i seg selv, så avgrens hvem som kan lese mappen og sett oppbevaring for det administrative formålet i stedet for å kalle saken anonym.

Hvor nettleserdata sniker seg inn i godkjenningssaken

Tre lekkasjer forklarer det meste. En supportsak inneholder et skjermbilde av klientens tilkoblingsvindu, noen limer inn en SIEM-eksport for kontekst, eller en inventarrapport blir sammenstilt med godkjenningen fordi sammenstillingen var enkel den gangen. Hvert vedlegg legger atferd til en sak som bare trengte en beslutning. Når skjermbildet først er inne, begynner revisoren å spørre hva brukeren nådde, og saken må omklassifiseres.

Erstatt vedlegg med pekere der verktøyet tillater det. Hvis policyen insisterer på et vedlegg, be om beslutningsteksten og forespørselstråden, ikke øktopptaket, og fjern resten før saken lagres. Godkjennerens egen melding er vanligvis det beste beviset og det minst avslørende.

Verifiser omfanget uten sporet

Gateway-policyen er det som gjør en godkjenning til tilgang, så test den direkte. Logg inn med en konto innenfor det godkjente omfanget og nå en tillatt ressurs, prøv deretter en destinasjon utenfor omfanget og bekreft avvisningen, med klienten og metoden policyen forventer, ikke en nettleserfane på samme vert.

Tilgjengelighetsovervåking og hendelsesdiagnostikk kan beholde sin egen synlighet, under sin egen oppbevaring og sin egen tilgangsliste. Å holde disse to formålene atskilt er det som lar deg svare revisoren uten å overlevere et nettleserspor, og det holder diagnostikken nyttig når noe faktisk bryter sammen.

Hva du skal kontrollere før neste revisjon

Bekreft at skjemaet svarer på revisorens setning og ikke noe mer. Kontroller at hver rad har en godkjenner, et vindu og en eier for fjerningen. Se deretter på mappens egen tilgangsliste og spør om den er mindre enn VPN-brukerbasen.

Det siste trinnet er det folk hopper over. Ta en utløpt godkjenning og følg den til identitetsleverandøren for å se om kontoen faktisk ble deaktivert. Hvis identiteten fortsatt er aktiv, var oppføringen nøyaktig og prosessen ikke.