Ako evidovať schválenia prístupu k VPN bez histórie prehliadania
Zachovajte identitu, schvaľovateľa a platnosť a zoznam cieľových destinácií vynechajte. Tri podmienky určujú, akú časť rozhodnutia o prístupe skutočne potrebujete mať v zázname.
Dva tímy žiadajú ten istý artefakt a myslia tým rozdielne veci. Recenzent chce doklad, že menovaná osoba schválila rolu do určitého dátumu, zatiaľ čo sieťový tím má log firewallu plný destinácií a predpokladá, že to stačí. Nestačí, a preto sa priečinky schválení plnia názvami hostiteľov a napriek tomu zlyhávajú pri prvej otázke auditu. To, čo skutočne potrebujete, je málo a nič z toho nevyžaduje zaznamenávať, kam kto prehliadal.
Veľkosť záznamu sa riadi tromi podmienkami: či sa schválenie udeľuje na osobu alebo na rolu, či oprávnenie môže prežiť pracovný pomer osoby a či zmluva alebo rámec uvádza revíziu prístupu ako povinný dôkaz.
Začnite otázkou recenzenta, nie pripojením
Napíšte otázku, ktorú by audítor vyslovil nahlas, skôr než zvolíte jediné pole. Kto schválil prístup pre túto identitu, na čo, medzi ktorými dátumami a kto ho mal na konci odobrať. Každé pole formulára má odpovedať na časť tejto vety a čokoľvek, čo to nerobí, je inventár, pri ktorom ste práve prevzali povinnosť chrániť ho.
Tento test odstráni väčšinu toho, čo sa pridáva zo zvyku. Zoznamy destinácií, dopyty DNS, grafy využívania aplikácií a snímky živej relácie všetky opisujú správanie. Správanie nie je schválenie a jeho zbieranie presúva spis do oveľa vyššej triedy citlivosti, čo ide proti cieľu, s ktorým ste začali.
Tri podmienky určujú, koľko uchovať
Schválenia na osobu potrebujú identitu a dátum konca. Schválenia na rolu potrebujú rolu, rozsah, ktorý udeľuje, a vlastníka populácie, pretože vymenovanie štyridsiatich ľudí v jednom riadku vytvára štyridsať záznamov na údržbu a štyridsať šancí minúť odchod. Kde oprávnenie môže prežiť pracovný pomer, pridajte vlastníka odobratia a rytmus revízie, keďže dátum konca v tabuľke málokedy prinúti niekoho konať.
| Condition | Add to the record | Leave out |
|---|---|---|
| Approved per person | Identity, approver, expiry | Device telemetry |
| Approved per role | Role, scope, population owner | Per-user destinations |
| Outlives employment | Removal owner, review date | Session transcripts |
| Named in a contract | The cited artifact and its revision | A second, friendlier copy |
Keď rámec uvádza revíziu prístupu ako povinný dôkaz, zachovajte artefakt, ktorý proces revízie už cituje. Vytváranie paralelnej kópie pre tím VPN je spôsob, akým dve verzie toho istého schválenia skončia v rozpore o dátume konca.
Polia, ktoré nesú rozhodnutie
Použiteľná sada je krátka: schválená identita, žiadateľ, schvaľovateľ, rozsah roly alebo zdroja, dôvod v jednom riadku, okno platnosti, vlastník revízie alebo odobratia a odkaz na tiket, kde bola žiadosť odôvodnená. Na zariadenie alebo prihlasovacie údaje odkazujte nie tajným identifikátorom, napríklad inventárnou značkou alebo subjektom certifikátu, nikdy súkromným kľúčom alebo heslom, ktoré sa použili.
Výsledok považujte za osobné údaje, aj keď neobsahuje destinácie. Záznam, ktorý hovorí, že tento menovaný zamestnanec mal šesť mesiacov administratívny prístup do finančného segmentu, je citlivý sám o sebe, preto vymedzte, kto môže priečinok čítať, a nastavte retenciu pre administratívny účel, namiesto toho, aby ste spis nazvali anonymným.
Kadiaľ sa dáta o prehliadaní dostanú do spisu so schválením
Tri úniky vysvetľujú väčšinu. Tiket podpory obsahuje snímku okna pripojenia klienta, niekto vloží export zo SIEM pre kontext alebo sa správa o inventarizácii pripojí k schváleniu, pretože vtedy bolo spojenie jednoduché. Každá príloha pridáva správanie spisu, ktorý potreboval iba rozhodnutie. Keď je snímka vnútri, recenzent sa začne pýtať, čo používateľ dosahoval, a spis sa musí preklasifikovať.
Nahraďte prílohy odkazmi všade, kde to nástroj dovolí. Ak politika trvá na prílohe, žiadajte text rozhodnutia a vlákno žiadosti, nie záznam relácie, a zvyšok pred uložením spisu odstráňte. Vlastná správa schvaľovateľa je zvyčajne najlepší dôkaz a najmenej prezrádza.
Overte rozsah bez stopy
Politika brány je to, čo mení schválenie na prístup, preto ju testujte priamo. Prihláste sa účtom v rámci schváleného rozsahu a dosiahnite povolený zdroj, potom skúste destináciu mimo rozsahu a potvrďte odmietnutie, s klientom a metódou, ktoré politika očakáva, nie s kartou prehliadača na tom istom hostiteľovi.
Monitorovanie dostupnosti a diagnostika incidentov si môžu ponechať vlastnú viditeľnosť, pod vlastnou retenciou a vlastným zoznamom prístupu. Práve oddelenie týchto dvoch účelov vám umožňuje odpovedať recenzentovi bez odovzdania stopy prehliadania a udržiava diagnostiku užitočnú, keď sa niečo skutočne pokazí.
Čo skontrolovať pred ďalšou revíziou
Overte, že formulár odpovedá na vetu audítora a na nič viac. Skontrolujte, či každý riadok nesie schvaľovateľa, okno a vlastníka odobratia. Potom sa pozrite na vlastný zoznam prístupu priečinka a spýtajte sa, či je menší než základňa používateľov VPN.
Posledný krok je ten, ktorý ľudia preskakujú. Vezmite prepadnuté schválenie a sledujte ho k poskytovateľovi identity, aby ste zistili, či bol účet skutočne deaktivovaný. Ak je identita stále aktívna, záznam bol presný a proces nie.