Kako evidentirati odobritve dostopa do VPN brez zgodovine brskanja

Dve ekipi prosita za isto gradivo in z njim mislita različne stvari. Pregledovalec želi dokaz, da je imenovana oseba odobrila vlogo do določenega datuma, medtem ko ima omrežna ekipa dnevnik požarnega zidu poln ciljev in predpostavlja, da to zadostuje. Ne zadostuje, zato se mape odobritev polnijo z imeni gostiteljev in vseeno padejo na prvem revizijskem vprašanju. Kar res potrebujete, je malo, in nič od tega ne zahteva beleženja, kam je kdo brskal.

Velikost zapisa sledi trem pogojem: ali je odobritev dana na osebo ali na vlogo, ali lahko pravica preživi delovno razmerje osebe in ali pogodba ali okvir navaja pregled dostopa kot zahtevani dokaz.

Začnite z vprašanjem pregledovalca, ne s povezavo

Zapišite vprašanje, ki bi ga revizor izgovoril na glas, preden izberete eno samo polje. Kdo je odobril dostop za to identiteto, do česa, med katerimi datumi in kdo naj bi ga na koncu odstranil. Vsako polje obrazca mora odgovoriti na del tega stavka, in vse, kar tega ne stori, je popis, za katerega ste pravkar prevzeli obveznost varovanja.

Ta preizkus odstrani večino tega, kar se doda iz navade. Seznami ciljev, poizvedbe DNS, grafi uporabe aplikacij in posnetki zaslona žive seje vsi opisujejo vedenje. Vedenje ni odobritev, in njegovo zbiranje prestavi spis v veliko višji razred občutljivosti, kar deluje proti cilju, s katerim ste začeli.

Trije pogoji določajo, koliko obdržati

Odobritve na osebo potrebujejo identiteto in končni datum. Odobritve na vlogo potrebujejo vlogo, obseg, ki ga daje, in lastnika populacije, ker naštevanje štiridesetih ljudi v eni vrstici ustvari štirideset zapisov za vzdrževanje in štirideset priložnosti, da spregledate odhod. Kjer lahko pravica preživi delovno razmerje, dodajte lastnika odstranitve in ritem pregleda, saj datum poteka v preglednici le redko koga spodbudi k ukrepanju.

Ko okvir navaja pregled dostopa kot zahtevani dokaz, obdržite gradivo, na katero se postopek pregleda že sklicuje. Vzpostavitev vzporedne kopije za ekipo VPN je pot, po kateri se dve različici iste odobritve začneta razhajati glede končnega datuma.

Polja, ki nosijo odločitev

Uporabni nabor je kratek: odobrena identiteta, prosilec, odobritelj, obseg vloge ali vira, razlog v eni vrstici, okno veljavnosti, lastnik pregleda ali odstranitve in namig na zahtevek, kjer je bila prošnja utemeljena. Na napravo ali poverilnice se sklicujte z nejavnim identifikatorjem, kot je oznaka sredstva ali subjekt potrdila, nikoli z uporabljenim zasebnim ključem ali geslom.

Rezultat obravnavajte kot osebne podatke, tudi če ne vsebuje ciljev. Zapis, ki pravi, da je ta imenovani zaposleni šest mesecev imel skrbniški dostop do finančnega segmenta, je občutljiv sam po sebi, zato omejite, kdo lahko bere mapo, in določite hrambo za skrbniški namen, namesto da bi spis imenovali anonimen.

Kje podatki o brskanju zaidejo v spis z odobritvijo

Tri puščanja pojasnijo večino. Zahtevek za pomoč vsebuje posnetek zaslona okna za povezavo odjemalca, nekdo prilepi izvoz iz SIEM za kontekst ali se poročilo o popisu pripne k odobritvi, ker je bilo takrat združevanje enostavno. Vsaka priloga doda vedenje spisu, ki je potreboval le odločitev. Ko je posnetek zaslona znotraj, pregledovalec začne spraševati, do česa je uporabnik segal, in spis je treba prerazvrstiti.

Priloge nadomestite z namigi, kjer orodje to dovoljuje. Če politika vztraja pri prilogi, prosite za besedilo odločitve in nit zahteve, ne posnetka seje, in odstranite preostanek, preden se spis shrani. Sporočilo odobritelja samega je običajno najboljši dokaz in najmanj razkriva.

Preverite obseg brez sledi

Politika prehoda je tisto, kar spremeni odobritev v dostop, zato jo preizkusite neposredno. Prijavite se z računom v odobrenem obsegu in dosezite dovoljeni vir, nato poskusite cilj zunaj obsega in potrdite zavrnitev, z odjemalcem in metodo, ki ju politika pričakuje, ne z zavihkom brskalnika na istem gostitelju.

Spremljanje razpoložljivosti in diagnostika incidentov lahko obdržita svojo vidnost, pod svojo hrambo in svojim seznamom dostopa. Prav ločevanje teh dveh namenov vam omogoča, da pregledovalcu odgovorite brez izročitve sledi brskanja, in ohranja diagnostiko uporabno, ko se nekaj zares pokvari.

Kaj preveriti pred naslednjim pregledom

Potrdite, da obrazec odgovarja na revizorjev stavek in na nič več. Preverite, da vsaka vrstica nosi odobritelja, okno in lastnika odstranitve. Nato poglejte lastni seznam dostopa mape in vprašajte, ali je manjši od baze uporabnikov VPN.

Zadnji korak je tisti, ki ga ljudje preskočijo. Vzemite poteklo odobritev in ji sledite do ponudnika identitete, da vidite, ali je bil račun res onemogočen. Če je identiteta še vedno aktivna, je bil zapis točen, postopek pa ne.