วิธีบันทึกการอนุมัติการเข้าถึง VPN โดยไม่ต้องเก็บประวัติการท่องเว็บ
เก็บข้อมูลตัวตน ผู้อนุมัติ และวันหมดอายุไว้ และปล่อยรายการปลายทางไป สามเงื่อนไขเป็นตัวกำหนดว่าคุณต้องเก็บส่วนใดของคำตัดสินการเข้าถึงไว้ในแฟ้มจริง ๆ
สองทีมขอสิ่งเดียวกันแต่หมายถึงคนละอย่าง ผู้ตรวจสอบต้องการหลักฐานว่าบุคคลที่ระบุชื่อได้อนุมัติบทบาทจนถึงวันที่หนึ่ง ขณะที่ทีมเครือข่ายมีบันทึกไฟร์วอลล์ที่เต็มไปด้วยปลายทางและคิดว่าเพียงพอแล้ว มันไม่เพียงพอ และนั่นคือเหตุผลที่แฟ้มการอนุมัติเต็มไปด้วยชื่อโฮสต์แต่ยังตกคำถามการตรวจสอบข้อแรก สิ่งที่คุณต้องการจริง ๆ มีน้อย และไม่มีข้อใดต้องบันทึกว่าใครท่องเว็บที่ไหน
ขนาดของบันทึกขึ้นอยู่กับสามเงื่อนไข คือการอนุมัติให้รายบุคคลหรือรายบทบาท สิทธิ์นั้นอยู่ได้นานกว่าการจ้างงานของบุคคลหรือไม่ และสัญญาหรือกรอบใดระบุการทบทวนการเข้าถึงเป็นหลักฐานที่ต้องมีหรือไม่
เริ่มจากคำถามของผู้ตรวจสอบ ไม่ใช่จากการเชื่อมต่อ
เขียนคำถามที่ผู้ตรวจสอบจะถามออกมาดัง ๆ ก่อนที่คุณจะเลือกฟิลด์ใดฟิลด์หนึ่ง ใครอนุมัติการเข้าถึงสำหรับตัวตนนี้ เพื่ออะไร ระหว่างวันที่ใด และใครควรถอดออกในตอนท้าย ทุกฟิลด์ในแบบฟอร์มต้องตอบส่วนหนึ่งของประโยคนั้น และสิ่งใดที่ไม่ทำเช่นนั้นคือรายการที่คุณเพิ่งรับภาระต้องปกป้องมัน
การทดสอบนั้นตัดสิ่งที่เพิ่มเข้ามาจากความเคยชินออกไปเกือบทั้งหมด รายการปลายทาง คำค้น DNS แผนภูมิการใช้งานแอปพลิเคชัน และภาพหน้าจอของเซสชันสดล้วนอธิบายพฤติกรรม พฤติกรรมไม่ใช่การอนุมัติ และการเก็บมันย้ายแฟ้มไปสู่ชั้นความอ่อนไหวที่สูงกว่ามาก ซึ่งขัดกับเป้าหมายที่คุณเริ่มต้น
สามเงื่อนไขเป็นตัวกำหนดว่าจะเก็บไว้เท่าใด
การอนุมัติรายบุคคลต้องมีตัวตนและวันสิ้นสุด การอนุมัติรายบทบาทต้องมีบทบาท ขอบเขตที่ให้ และเจ้าของกลุ่มประชากร เพราะการระบุคนสี่สิบคนในแถวเดียวสร้างบันทึกสี่สิบรายการให้ดูแลและโอกาสสี่สิบครั้งที่จะพลาดการลาออก เมื่อสิทธิ์อยู่ได้นานกว่าการจ้างงาน ให้เพิ่มเจ้าของการถอดถอนและจังหวะการทบทวน เพราะวันหมดอายุในสเปรดชีตแทบไม่ทำให้ใครลงมือ
| Condition | Add to the record | Leave out |
|---|---|---|
| Approved per person | Identity, approver, expiry | Device telemetry |
| Approved per role | Role, scope, population owner | Per-user destinations |
| Outlives employment | Removal owner, review date | Session transcripts |
| Named in a contract | The cited artifact and its revision | A second, friendlier copy |
เมื่อกรอบใดระบุการทบทวนการเข้าถึงเป็นหลักฐานที่ต้องมี ให้เก็บเอกสารที่กระบวนการทบทวนอ้างถึงอยู่แล้ว การสร้างสำเนาคู่ขนานสำหรับทีม VPN คือหนทางที่สองเวอร์ชันของการอนุมัติเดียวกันจะขัดแย้งกันเรื่องวันสิ้นสุด
ฟิลด์ที่ถือคำตัดสิน
ชุดที่ใช้ได้นั้นสั้น คือตัวตนที่อนุมัติ ผู้ขอ ผู้อนุมัติ ขอบเขตของบทบาทหรือทรัพยากร เหตุผลในบรรทัดเดียว ช่วงเวลาที่มีผล เจ้าของการทบทวนหรือการถอดถอน และตัวชี้ไปยังตั๋วที่ถกเถียงคำขอ อ้างถึงอุปกรณ์หรือข้อมูลรับรองด้วยตัวระบุที่ไม่เป็นความลับ เช่น แท็กทรัพย์สินหรือหัวข้อใบรับรอง ไม่ใช่ด้วยคีย์ส่วนตัวหรือรหัสผ่านที่ใช้
ถือผลลัพธ์เป็นข้อมูลส่วนบุคคลแม้จะไม่มีปลายทาง บันทึกที่บอกว่าพนักงานชื่อนี้มีสิทธิ์เข้าถึงส่วนการเงินในระดับผู้ดูแลเป็นเวลาหกเดือนนั้นอ่อนไหวในตัวเอง ดังนั้นจำกัดว่าใครอ่านแฟ้มได้และกำหนดระยะเก็บรักษาเพื่อวัตถุประสงค์ด้านการบริหารแทนที่จะเรียกแฟ้มว่าไม่ระบุตัวตน
ข้อมูลการท่องเว็บเล็ดลอดเข้าแฟ้มการอนุมัติได้จากที่ใด
การรั่วไหลสามทางอธิบายส่วนใหญ่ได้ ตั๋วของศูนย์ช่วยเหลือมีภาพหน้าจอของหน้าต่างเชื่อมต่อของไคลเอนต์ มีคนวางการส่งออก SIEM เพื่อให้เห็นบริบท หรือรายงานสินค้าคงคลังถูกเชื่อมเข้ากับการอนุมัติเพราะตอนนั้นการเชื่อมทำได้ง่าย ทุกสิ่งที่แนบมาเพิ่มพฤติกรรมให้แฟ้มที่ต้องการเพียงคำตัดสิน เมื่อภาพหน้าจออยู่ข้างในแล้ว ผู้ตรวจสอบเริ่มถามว่าผู้ใช้กำลังจะเข้าถึงอะไร และแฟ้มต้องถูกจัดประเภทใหม่
แทนที่สิ่งที่แนบมาด้วยตัวชี้ทุกที่ที่เครื่องมืออนุญาต หากนโยบายยืนกรานให้มีสิ่งที่แนบมา ให้ขอข้อความของคำตัดสินและเธรดของคำขอ ไม่ใช่การบันทึกเซสชัน และลบส่วนที่เหลือก่อนบันทึกแฟ้ม ข้อความของผู้อนุมัติเองมักเป็นหลักฐานที่ดีที่สุดและเปิดเผยน้อยที่สุด
ตรวจสอบขอบเขตโดยไม่มีร่องรอย
นโยบายเกตเวย์คือสิ่งที่เปลี่ยนการอนุมัติให้เป็นการเข้าถึง ดังนั้นทดสอบโดยตรง ลงชื่อเข้าใช้ด้วยบัญชีในขอบเขตที่อนุมัติและเข้าถึงทรัพยากรที่ได้รับอนุญาต จากนั้นลองปลายทางนอกขอบเขตและยืนยันการปฏิเสธ ด้วยไคลเอนต์และวิธีที่นโยบายคาดหวัง ไม่ใช่แท็บเบราว์เซอร์บนโฮสต์เดียวกัน
การตรวจสอบความพร้อมใช้งานและการวินิจฉัยเหตุการณ์สามารถเก็บการมองเห็นของตนเองได้ ภายใต้ระยะเก็บรักษาและรายการการเข้าถึงของตนเอง การแยกวัตถุประสงค์สองอย่างนี้ออกจากกันคือสิ่งที่ทำให้คุณตอบผู้ตรวจสอบได้โดยไม่ต้องมอบร่องรอยการท่องเว็บ และทำให้การวินิจฉัยยังมีประโยชน์เมื่อมีบางอย่างเสียจริง
สิ่งที่ต้องตรวจสอบก่อนการทบทวนครั้งถัดไป
ยืนยันว่าแบบฟอร์มตอบประโยคของผู้ตรวจสอบและไม่มากไปกว่านั้น ตรวจสอบว่าแถวทุกแถวมีผู้อนุมัติ ช่วงเวลา และเจ้าของการถอดถอน จากนั้นดูรายการการเข้าถึงของแฟ้มเองและถามว่ามันเล็กกว่าฐานผู้ใช้ VPN หรือไม่
ขั้นตอนสุดท้ายคือขั้นที่คนข้ามไป หยิบการอนุมัติที่หมดอายุแล้วและติดตามไปยังผู้ให้บริการตัวตนเพื่อดูว่าบัญชีถูกปิดใช้งานจริงหรือไม่ หากตัวตนยังใช้งานอยู่ บันทึกนั้นถูกต้องแต่กระบวนการไม่ใช่