Як фіксувати погодження доступу до VPN без історії переглядів
Збережіть особу, погоджувача й термін дії, а список призначень пропустіть. Три умови визначають, скільки рішення про доступ справді потрібно мати у справі.
Дві команди просять той самий артефакт і вкладають у нього різний сенс. Рецензент хоче доказ, що названа особа погодила роль до певної дати, а мережева команда має журнал міжмережевого екрана, повний призначень, і вважає, що цього достатньо. Цього недостатньо, і тому теки погоджень заповнюються іменами хостів і все одно провалюють перше питання аудиту. Того, що справді потрібно, небагато, і ніщо з цього не вимагає записувати, куди хто заходив.
Розмір запису залежить від трьох умов: чи надається погодження на особу чи на роль, чи може право пережити трудові відносини особи і чи називає договір або рамка перегляд доступу обов’язковим доказом.
Почніть із питання рецензента, а не з підключення
Запишіть питання, яке аудитор поставив би вголос, перш ніж ви оберете бодай одне поле. Хто погодив доступ для цієї особи, на що, між якими датами і хто мав зняти його наприкінці. Кожне поле форми має відповідати на частину цього речення, а все, що цього не робить, — це інвентар, за захист якого ви щойно взяли на себе зобов’язання.
Ця перевірка прибирає більшість того, що додається за звичкою. Списки призначень, запити DNS, графіки використання застосунків і знімки екрана живої сесії описують поведінку. Поведінка не є погодженням, і її збирання переводить справу в набагато вищий клас чутливості, що працює проти мети, з якою ви почали.
Три умови визначають, скільки зберігати
Погодження на особу потребують особи й дати завершення. Погодження на роль потребують ролі, обсягу, який вона дає, і власника сукупності, бо перелік сорока людей в одному рядку створює сорок записів для супроводу і сорок шансів проґавити звільнення. Там, де право може пережити трудові відносини, додайте власника вилучення й ритм перегляду, адже термін у таблиці рідко спонукає когось діяти.
| Condition | Add to the record | Leave out |
|---|---|---|
| Approved per person | Identity, approver, expiry | Device telemetry |
| Approved per role | Role, scope, population owner | Per-user destinations |
| Outlives employment | Removal owner, review date | Session transcripts |
| Named in a contract | The cited artifact and its revision | A second, friendlier copy |
Коли рамка називає перегляд доступу обов’язковим доказом, зберігайте той артефакт, на який процедура перегляду вже посилається. Створення паралельної копії для команди VPN — це шлях, яким дві версії одного погодження починають розходитися щодо дати завершення.
Поля, що несуть рішення
Робочий набір короткий: погоджена особа, заявник, погоджувач, обсяг ролі або ресурсу, причина в одному рядку, вікно дії, власник перегляду або вилучення і вказівник на заявку, де запит обговорювався. Посилайтеся на пристрій або облікові дані несекретним ідентифікатором, наприклад міткою активу чи суб’єктом сертифіката, ніколи — використаним закритим ключем або паролем.
Ставтеся до результату як до персональних даних, навіть якщо в ньому немає призначень. Запис, який каже, що цей названий працівник пів року мав адміністративний доступ до фінансового сегмента, чутливий сам по собі, тож обмежте, хто може читати теку, і задайте термін зберігання для адміністративної мети, а не називайте справу анонімною.
Звідки дані про перегляди потрапляють у справу погодження
Три витоки пояснюють більшість. Заявка служби підтримки містить знімок вікна підключення клієнта, хтось вставляє вивантаження SIEM для контексту, або звіт інвентаризації долучається до погодження, бо тоді об’єднання було простим. Кожен вкладений файл додає поведінку до справи, якій потрібне було лише рішення. Щойно знімок усередині, рецензент починає питати, куди діставався користувач, і справу доводиться перекласифікувати.
Замінюйте вкладення посиланнями там, де інструмент це дозволяє. Якщо політика наполягає на вкладенні, просіть текст рішення й нитку запиту, а не запис сесії, і приберіть решту до збереження справи. Повідомлення самого погоджувача зазвичай є найкращим доказом і найменш розкривальним.
Перевірте обсяг без сліду
Саме політика шлюзу перетворює погодження на доступ, тож перевіряйте її безпосередньо. Увійдіть обліковим записом у погодженому обсязі й досягніть дозволеного ресурсу, потім спробуйте призначення поза обсягом і підтвердьте відмову, використовуючи клієнт і метод, яких очікує політика, а не вкладку браузера на тому самому хості.
Моніторинг доступності й діагностика інцидентів можуть зберігати власну видимість під власним терміном зберігання і власним списком доступу. Розділення цих двох цілей і дозволяє відповісти рецензентові, не передаючи слід переглядів, і зберігає діагностику корисною, коли щось справді ламається.
Що перевірити перед наступним переглядом
Переконайтеся, що форма відповідає на речення аудитора і ні на що більше. Перевірте, що кожен рядок несе погоджувача, вікно і власника вилучення. Потім подивіться на власний список доступу теки й запитайте, чи він менший за базу користувачів VPN.
Останній крок — той, який люди пропускають. Візьміть прострочене погодження і простежте його до постачальника особи, щоб побачити, чи справді обліковий запис вимкнено. Якщо особа ще активна, запис був точний, а процес — ні.