Så dokumenterar du VPN-åtkomstgodkännanden utan webbläsarhistorik

Två team ber om samma artefakt och menar olika saker med den. Granskaren vill ha bevis för att en namngiven person godkände en roll fram till ett datum, medan nätverksteamet har en brandväggslogg full av destinationer och antar att den räknas. Det gör den inte, och därför fylls godkännandemappar med värdnamn och misslyckas ändå på den första revisionsfrågan. Det du faktiskt behöver är lite, och inget av det kräver att du registrerar var någon har surfat.

Postens storlek följer tre villkor: om godkännandet ges per person eller per roll, om rättigheten kan överleva personens anställning, och om ett avtal eller ramverk nämner åtkomstgranskningen som nödvändigt bevis.

Börja med granskarens fråga, inte med anslutningen

Skriv ned frågan som en revisor skulle ställa högt innan du väljer ett enda fält. Vem godkände åtkomst för denna identitet, till vad, mellan vilka datum, och vem skulle ta bort den i slutet. Varje fält i formuläret måste svara på en del av den meningen, och allt som inte gör det är inventarier som du just har tagit på dig skyldigheten att skydda.

Det testet tar bort det mesta av det som läggs till av vana. Destinationslistor, DNS-frågor, användningsdiagram för applikationer och skärmbilder av en live-session beskriver alla beteende. Beteende är inte godkännandet, och att samla in det flyttar akten till en mycket högre känslighetsklass, vilket arbetar mot det mål du började med.

Tre villkor avgör hur mycket som behålls

Godkännanden per person behöver en identitet och ett slutdatum. Godkännanden per roll behöver rollen, den omfattning den ger och ägaren till populationen, eftersom att lista fyrtio personer på en rad skapar fyrtio poster att underhålla och fyrtio chanser att missa en avgång. Där rättigheten kan överleva anställningen, lägg till en ägare för borttagningen och en granskningsrytm, eftersom ett utgångsdatum i ett kalkylblad sällan får någon att agera.

När ett ramverk nämner åtkomstgranskningen som nödvändigt bevis, behåll den artefakt som granskningsprocessen redan hänvisar till. Att bygga en parallell kopia för VPN-teamet är det sätt på vilket två versioner av samma godkännande till slut är oense om ett slutdatum.

Fälten som bär beslutet

Den användbara uppsättningen är kort: den godkända identiteten, beställaren, godkännaren, roll- eller resursomfattningen, skälet på en rad, giltighetsfönstret, ägaren till granskningen eller borttagningen, och en pekare till ärendet där begäran argumenterades. Hänvisa till enheten eller behörigheten med en icke-hemlig identifierare som en tillgångstagg eller certifikatets subjekt, aldrig med den privata nyckeln eller lösenordet som användes.

Behandla resultatet som personuppgifter även om det inte innehåller destinationer. En post som säger att denna namngivna anställda hade administrativ åtkomst till finanssegmentet i sex månader är känslig i sig, så begränsa vem som får läsa mappen och sätt bevarande för det administrativa syftet i stället för att kalla akten anonym.

Var surfdata smyger sig in i godkännandeakten

Tre läckor förklarar det mesta. Ett supportärende innehåller en skärmbild av klientens anslutningsfönster, någon klistrar in en SIEM-export för kontext, eller en inventarierapport kopplas till godkännandet eftersom kopplingen var enkel då. Varje bilaga lägger till beteende i en akt som bara behövde ett beslut. När skärmbilden väl är inne börjar granskaren fråga vad användaren nådde, och akten måste omklassificeras.

Ersätt bilagor med pekare där verktyget tillåter det. Om policyn kräver en bilaga, be om beslutstexten och begärantråden, inte sessionsinspelningen, och ta bort resten innan akten sparas. Godkännarens eget meddelande är oftast det bästa beviset och det minst avslöjande.

Verifiera omfattningen utan spåret

Gateway-policyn är det som gör ett godkännande till åtkomst, så testa den direkt. Logga in med ett konto inom den godkända omfattningen och nå en tillåten resurs, försök sedan med en destination utanför omfattningen och bekräfta avslaget, med den klient och metod som policyn förväntar sig, inte en webbläsarflik på samma värd.

Tillgänglighetsövervakning och incidentdiagnostik kan behålla sin egen synlighet, under sitt eget bevarande och sin egen åtkomstlista. Att hålla dessa två syften åtskilda är det som låter dig svara granskaren utan att lämna ut ett surfspår, och det håller diagnostiken användbar när något faktiskt går sönder.

Vad du ska kontrollera före nästa granskning

Bekräfta att formuläret svarar på revisorns mening och inget mer. Kontrollera att varje rad har en godkännare, ett fönster och en ägare för borttagningen. Titta sedan på mappens egen åtkomstlista och fråga om den är mindre än VPN-användarbasen.

Det sista steget är det som folk hoppar över. Ta ett utgånget godkännande och följ det till identitetsleverantören för att se om kontot faktiskt inaktiverades. Om identiteten fortfarande är aktiv var posten korrekt och processen inte.