Jak ewidencjonować zatwierdzenia dostępu do VPN bez historii przeglądania
Zachowaj tożsamość, zatwierdzającego i termin ważności, a listę miejsc docelowych pomiń. Trzy warunki decydują, ile z decyzji o dostępie naprawdę trzeba mieć w aktach.
Dwa zespoły proszą o ten sam artefakt i rozumieją przez niego coś innego. Recenzent chce dowodu, że wskazana osoba zatwierdziła rolę do określonej daty, a zespół sieciowy ma dziennik zapory pełen miejsc docelowych i zakłada, że to wystarczy. Nie wystarczy, i dlatego foldery zatwierdzeń wypełniają się nazwami hostów, a mimo to nie przechodzą pierwszego pytania audytu. To, czego naprawdę potrzeba, jest niewiele, i nic z tego nie wymaga zapisywania, gdzie kto przeglądał.
Wielkość wpisu zależy od trzech warunków: czy zatwierdzenie jest udzielane na osobę, czy na rolę, czy uprawnienie może przetrwać stosunek pracy danej osoby, oraz czy umowa lub ramy wskazują przegląd dostępu jako wymagany dowód.
Zacznij od pytania recenzenta, nie od połączenia
Zapisz pytanie, które audytor zadałby na głos, zanim wybierzesz choć jedno pole. Kto zatwierdził dostęp dla tej tożsamości, do czego, między jakimi datami i kto miał go usunąć na końcu. Każde pole formularza musi odpowiadać na część tego zdania, a wszystko, co tego nie robi, jest inwentarzem, za którego ochronę właśnie przejąłeś obowiązek.
Ten test usuwa większość tego, co dodaje się z przyzwyczajenia. Listy miejsc docelowych, zapytania DNS, wykresy użycia aplikacji i zrzuty ekranu żywej sesji opisują zachowanie. Zachowanie nie jest zatwierdzeniem, a jego zbieranie przenosi akta do znacznie wyższej klasy wrażliwości, co działa przeciwko celowi, od którego zaczęto.
Trzy warunki decydują, ile zachować
Zatwierdzenia na osobę wymagają tożsamości i daty końcowej. Zatwierdzenia na rolę wymagają roli, zakresu, który daje, i właściciela populacji, ponieważ wymienienie czterdziestu osób w jednym wierszu tworzy czterdzieści wpisów do utrzymania i czterdzieści szans na przeoczenie odejścia. Tam, gdzie uprawnienie może przetrwać stosunek pracy, dodaj właściciela usunięcia i rytm przeglądu, bo termin ważności w arkuszu rzadko skłania kogoś do działania.
| Condition | Add to the record | Leave out |
|---|---|---|
| Approved per person | Identity, approver, expiry | Device telemetry |
| Approved per role | Role, scope, population owner | Per-user destinations |
| Outlives employment | Removal owner, review date | Session transcripts |
| Named in a contract | The cited artifact and its revision | A second, friendlier copy |
Gdy ramy wskazują przegląd dostępu jako wymagany dowód, zachowaj artefakt, na który proces przeglądu już się powołuje. Budowanie równoległej kopii dla zespołu VPN to droga, na której dwie wersje tego samego zatwierdzenia zaczynają się spierać o datę końcową.
Pola, które niosą decyzję
Użyteczny zestaw jest krótki: zatwierdzona tożsamość, wnioskujący, zatwierdzający, zakres roli lub zasobu, powód w jednym wierszu, okno ważności, właściciel przeglądu lub usunięcia oraz wskazanie biletu, w którym wniosek uzasadniono. Odwołuj się do urządzenia lub poświadczenia nie tajnym identyfikatorem, takim jak oznaczenie środka trwałego albo podmiot certyfikatu, nigdy użytym kluczem prywatnym ani hasłem.
Traktuj wynik jako dane osobowe, nawet jeśli nie zawiera miejsc docelowych. Wpis mówiący, że ten wskazany pracownik miał przez sześć miesięcy dostęp administracyjny do segmentu finansowego, jest wrażliwy sam w sobie, więc ogranicz, kto może czytać folder, i ustaw retencję dla celu administracyjnego, zamiast nazywać akta anonimowymi.
Skąd dane o przeglądaniu trafiają do akt zatwierdzenia
Trzy wycieki wyjaśniają większość. Bilet pomocy technicznej zawiera zrzut ekranu okna połączenia klienta, ktoś wkleja eksport z SIEM dla kontekstu, albo raport inwentaryzacji zostaje dołączony do zatwierdzenia, bo wtedy połączenie było łatwe. Każdy załącznik dodaje zachowanie do akt, które potrzebowały tylko decyzji. Gdy zrzut ekranu już jest w środku, recenzent zaczyna pytać, do czego użytkownik zmierzał, i akta trzeba przeklasyfikować.
Zastąp załączniki wskazaniami tam, gdzie narzędzie na to pozwala. Jeśli polityka nalega na załącznik, poproś o treść decyzji i wątek wniosku, a nie nagranie sesji, i usuń resztę przed zapisaniem akt. Wiadomość samego zatwierdzającego jest zwykle najlepszym dowodem i najmniej ujawnia.
Sprawdź zakres bez śladu
To polityka bramy zamienia zatwierdzenie w dostęp, więc przetestuj ją bezpośrednio. Zaloguj się kontem w zatwierdzonym zakresie i dotrzyj do dozwolonego zasobu, następnie spróbuj miejsca docelowego poza zakresem i potwierdź odmowę, używając klienta i metody, których oczekuje polityka, a nie karty przeglądarki na tym samym hoście.
Monitorowanie dostępności i diagnostyka incydentów mogą zachować własną widoczność, w ramach własnej retencji i własnej listy dostępu. Rozdzielenie tych dwóch celów pozwala odpowiedzieć recenzentowi bez przekazywania śladu przeglądania i utrzymuje diagnostykę użyteczną, gdy coś naprawdę się psuje.
Co sprawdzić przed następnym przeglądem
Potwierdź, że formularz odpowiada na zdanie audytora i na nic więcej. Sprawdź, czy każdy wiersz zawiera zatwierdzającego, okno i właściciela usunięcia. Następnie spójrz na własną listę dostępu folderu i zapytaj, czy jest mniejsza niż baza użytkowników VPN.
Ostatni krok to ten, który ludzie pomijają. Weź wygasłe zatwierdzenie i prześledź je do dostawcy tożsamości, aby zobaczyć, czy konto rzeczywiście zostało wyłączone. Jeśli tożsamość jest nadal aktywna, wpis był dokładny, a proces nie.