Cách ghi nhận phê duyệt truy cập VPN mà không cần lịch sử duyệt web
Giữ danh tính, người phê duyệt và ngày hết hạn, còn danh sách đích đến thì bỏ qua. Ba điều kiện quyết định bạn thực sự cần lưu bao nhiêu phần của quyết định truy cập trong hồ sơ.
Hai nhóm yêu cầu cùng một tài liệu nhưng hiểu theo cách khác nhau. Người rà soát muốn bằng chứng rằng một người có tên đã phê duyệt một vai trò đến một ngày, trong khi nhóm mạng có nhật ký tường lửa đầy đích đến và cho rằng thế là đủ. Không đủ, và đó là lý do các thư mục phê duyệt đầy tên máy chủ mà vẫn trượt câu hỏi kiểm toán đầu tiên. Điều thực sự cần thì ít, và không phần nào trong đó đòi ghi lại nơi ai đã duyệt.
Kích thước bản ghi tuân theo ba điều kiện: việc phê duyệt được cấp theo từng người hay từng vai trò, quyền đó có thể tồn tại lâu hơn thời gian làm việc của người ấy không, và hợp đồng hay khung có nêu việc rà soát truy cập là bằng chứng bắt buộc không.
Bắt đầu từ câu hỏi của người rà soát, không phải từ kết nối
Hãy viết ra câu hỏi mà kiểm toán viên sẽ hỏi thành tiếng trước khi bạn chọn dù chỉ một trường. Ai đã phê duyệt truy cập cho danh tính này, để làm gì, giữa những ngày nào, và ai lẽ ra phải gỡ bỏ nó vào cuối. Mỗi trường trên biểu mẫu phải trả lời một phần của câu đó, và bất cứ điều gì không làm vậy là bản kiểm kê mà bạn vừa nhận nghĩa vụ bảo vệ.
Phép thử đó loại bỏ phần lớn những gì được thêm vào theo thói quen. Danh sách đích đến, truy vấn DNS, biểu đồ sử dụng ứng dụng và ảnh chụp màn hình của một phiên trực tiếp đều mô tả hành vi. Hành vi không phải là phê duyệt, và việc thu thập nó chuyển hồ sơ sang một tầng nhạy cảm cao hơn nhiều, đi ngược lại mục tiêu bạn đã bắt đầu.
Ba điều kiện quyết định giữ lại bao nhiêu
Phê duyệt theo từng người cần danh tính và ngày kết thúc. Phê duyệt theo từng vai trò cần vai trò, phạm vi mà nó cấp và chủ sở hữu tập thể, vì liệt kê bốn mươi người trong một hàng tạo ra bốn mươi bản ghi phải duy trì và bốn mươi cơ hội bỏ sót một người rời đi. Ở nơi quyền có thể tồn tại lâu hơn thời gian làm việc, hãy thêm chủ sở hữu việc gỡ bỏ và nhịp rà soát, vì ngày hết hạn trong bảng tính hiếm khi khiến ai hành động.
| Condition | Add to the record | Leave out |
|---|---|---|
| Approved per person | Identity, approver, expiry | Device telemetry |
| Approved per role | Role, scope, population owner | Per-user destinations |
| Outlives employment | Removal owner, review date | Session transcripts |
| Named in a contract | The cited artifact and its revision | A second, friendlier copy |
Khi một khung nêu việc rà soát truy cập là bằng chứng bắt buộc, hãy giữ tài liệu mà quy trình rà soát đã trích dẫn. Việc tạo một bản sao song song cho nhóm VPN là cách hai phiên bản của cùng một phê duyệt cuối cùng bất đồng về ngày kết thúc.
Những trường mang quyết định
Bộ khả dụng thì ngắn: danh tính được phê duyệt, người yêu cầu, người phê duyệt, phạm vi vai trò hoặc tài nguyên, lý do trong một dòng, khoảng hiệu lực, chủ sở hữu việc rà soát hoặc gỡ bỏ, và một con trỏ tới phiếu nơi yêu cầu được tranh luận. Hãy tham chiếu thiết bị hoặc thông tin xác thực bằng một định danh không bí mật như thẻ tài sản hoặc chủ thể chứng chỉ, không bao giờ bằng khóa riêng hay mật khẩu đã dùng.
Coi kết quả là dữ liệu cá nhân dù nó không chứa đích đến. Một bản ghi nói rằng nhân viên có tên này đã có quyền truy cập quản trị vào phân đoạn tài chính trong sáu tháng tự nó đã nhạy cảm, vì vậy hãy giới hạn ai được đọc thư mục và đặt thời hạn lưu giữ cho mục đích quản trị thay vì gọi hồ sơ là ẩn danh.
Dữ liệu duyệt web lọt vào hồ sơ phê duyệt từ đâu
Ba chỗ rò rỉ giải thích phần lớn. Một phiếu trợ giúp mang ảnh chụp cửa sổ kết nối của ứng dụng khách, ai đó dán bản xuất SIEM để lấy ngữ cảnh, hoặc một báo cáo kiểm kê được ghép vào phê duyệt vì khi đó việc ghép rất dễ. Mỗi tệp đính kèm thêm hành vi vào một hồ sơ chỉ cần một quyết định. Khi ảnh chụp đã ở trong, người rà soát bắt đầu hỏi người dùng đang với tới cái gì, và hồ sơ phải được phân loại lại.
Hãy thay tệp đính kèm bằng con trỏ ở bất cứ nơi nào công cụ cho phép. Nếu chính sách khăng khăng phải có tệp đính kèm, hãy yêu cầu văn bản quyết định và luồng yêu cầu, không phải bản ghi phiên, và xóa phần còn lại trước khi lưu hồ sơ. Thông điệp của chính người phê duyệt thường là bằng chứng tốt nhất và ít tiết lộ nhất.
Xác minh phạm vi mà không cần dấu vết
Chính sách cổng là thứ biến một phê duyệt thành quyền truy cập, vì vậy hãy kiểm tra trực tiếp. Đăng nhập bằng một tài khoản trong phạm vi được phê duyệt và với tới một tài nguyên được phép, sau đó thử một đích đến ngoài phạm vi và xác nhận việc từ chối, bằng ứng dụng khách và phương thức mà chính sách mong đợi, không phải bằng thẻ trình duyệt trên cùng máy chủ.
Giám sát khả dụng và chẩn đoán sự cố có thể giữ khả năng hiển thị riêng, dưới thời hạn lưu giữ và danh sách truy cập riêng. Việc tách hai mục đích đó là điều cho phép bạn trả lời người rà soát mà không phải giao nộp dấu vết duyệt web, và giữ cho chẩn đoán hữu ích khi có thứ gì đó thực sự hỏng.
Cần kiểm tra gì trước lần rà soát tiếp theo
Hãy xác nhận rằng biểu mẫu trả lời câu của kiểm toán viên và không hơn. Kiểm tra rằng mỗi hàng có người phê duyệt, khoảng thời gian và chủ sở hữu việc gỡ bỏ. Sau đó xem danh sách truy cập của chính thư mục và hỏi liệu nó có nhỏ hơn cơ sở người dùng VPN không.
Bước cuối cùng là bước người ta bỏ qua. Lấy một phê duyệt đã hết hạn và theo nó tới nhà cung cấp danh tính để xem tài khoản có thực sự bị vô hiệu hóa không. Nếu danh tính vẫn hoạt động, bản ghi đã chính xác còn quy trình thì không.