Како евидентирати одобрења за приступ VPN-у без историје прегледања
Задржите идентитет, одобраваоца и рок важења, а листу одредишта прескочите. Три услова одређују колико одлуке о приступу заиста морате имати у евиденцији.
Два тима траже исти документ и подразумевају различите ствари. Рецензент жели доказ да је именована особа одобрила улогу до одређеног датума, док мрежни тим има запис заштитног зида пун одредишта и претпоставља да је то довољно. Није, и зато се фасцикле одобрења пуне именима хостова и ипак падају на првом питању ревизије. Оно што вам заправо треба је мало и ништа од тога не захтева бележење где је неко прегледао.
Величина записа прати три услова: да ли се одобрење даје по особи или по улози, може ли право надживети радни однос особе и да ли уговор или оквир наводи преглед приступа као обавезан доказ.
Почните од питања рецензента, не од везе
Запишите питање које би ревизор изговорио наглас пре него што одаберете и једно поље. Ко је одобрио приступ за овај идентитет, на шта, између којих датума и ко је то требало да уклони на крају. Свако поље на обрасцу мора да одговори на део те реченице, а све што то не чини је инвентар за који сте управо преузели обавезу да га штитите.
Тај тест уклања већину онога што се додаје из навике. Листе одредишта, DNS упити, графикони коришћења апликација и снимци екрана живе сесије сви описују понашање. Понашање није одобрење, а његово прикупљање премешта спис у много вишу класу осетљивости, што ради против циља са којим сте почели.
Три услова одређују колико задржати
Одобрења по особи траже идентитет и крајњи датум. Одобрења по улози траже улогу, обим који она даје и власника популације, јер навођење четрдесет људи у једном реду ствара четрдесет записа за одржавање и четрдесет прилика да се пропусти одлазак. Где право може да надживи радни однос, додајте власника уклањања и ритам прегледа, јер рок у табели ретко наводи некога на деловање.
| Condition | Add to the record | Leave out |
|---|---|---|
| Approved per person | Identity, approver, expiry | Device telemetry |
| Approved per role | Role, scope, population owner | Per-user destinations |
| Outlives employment | Removal owner, review date | Session transcripts |
| Named in a contract | The cited artifact and its revision | A second, friendlier copy |
Када оквир наводи преглед приступа као обавезан доказ, задржите документ који процес прегледа већ цитира. Прављење паралелне копије за VPN тим је пут којим две верзије истог одобрења завршавају у неслагању око крајњег датума.
Поља која носе одлуку
Употребљив скуп је кратак: одобрени идентитет, подносилац захтева, одобравалац, обим улоге или ресурса, разлог у једном реду, прозор важења, власник прегледа или уклањања и показатељ на тикет у ком је захтев образложен. Позовите се на уређај или акредитив не-тајним идентификатором, као што је ознака средства или субјект сертификата, никада приватним кључем или лозинком која је коришћена.
Третирајте резултат као личне податке иако не садржи одредишта. Запис који каже да је овај именовани запослени шест месеци имао административни приступ финансијском сегменту осетљив је сам по себи, зато ограничите ко може да чита фасциклу и поставите рок чувања за административну сврху уместо да спис називате анонимним.
Одакле подаци о прегледању улазе у спис са одобрењем
Три цурења објашњавају већину. Тикет подршке носи снимак екрана прозора за везу клијента, неко залепи извоз из SIEM-а за контекст, или се извештај инвентара припоји одобрењу јер је тада спајање било лако. Сваки прилог додаје понашање спису ком је требала само одлука. Када снимак екрана уђе, рецензент почиње да пита до чега је корисник допирао, и спис мора поново да се класификује.
Замените прилоге показатељима где алат то дозвољава. Ако политика инсистира на прилогу, тражите текст одлуке и нит захтева, а не снимак сесије, и уклоните остатак пре него што се спис сачува. Сама порука одобраваоца обично је најбољи доказ и најмање открива.
Проверите обим без трага
Политика мрежног пролаза је оно што одобрење претвара у приступ, зато је тестирајте директно. Пријавите се рачуном унутар одобреног обима и достигните дозвољени ресурс, затим покушајте одредиште изван обима и потврдите одбијање, користећи клијента и метод које политика очекује, а не картицу прегледача на истом хосту.
Праћење доступности и дијагностика инцидената могу задржати сопствену видљивост, под сопственим роком чувања и сопственом листом приступа. Раздвајање те две сврхе је оно што вам омогућава да одговорите рецензенту без предаје трага прегледања, и одржава дијагностику корисном када се нешто заиста поквари.
Шта проверити пре следећег прегледа
Потврдите да образац одговара на реченицу ревизора и ништа више. Проверите да сваки ред носи одобраваоца, прозор и власника уклањања. Затим погледајте сопствену листу приступа фасцикле и питајте да ли је мања од базе корисника VPN-а.
Последњи корак је онај који људи прескачу. Узмите истекло одобрење и пратите га до даваоца идентитета да видите да ли је рачун заиста онемогућен. Ако је идентитет још активан, запис је био тачан, а процес није.