Аудит доступов отвечает на вопрос, который в текучке никто не задаёт: кто на самом деле может подключиться к нашим машинам прямо сейчас. Ответ почти всегда шире ожидаемого — за годы накапливаются доступы уволенных, подрядчиков с закрытых проектов и машин, о которых забыли. Аудит находит это раньше, чем находит злоумышленник.
Соберите исходные данные
Сначала полная картина, без неё исправлять нечего.
- Список машин с удалённым доступом и ответственными. Реестр устройств — отправная точка; если его нет, аудит начинается с его создания.
- Кто может подключаться к каждой машине и на каком основании: сотрудник, подрядчик, общий доступ.
- Где есть постоянные пароли и общие секреты — это зоны повышенного риска.
- Журнал подключений за последний период: кто реально подключался, а не только кто может.
- Расхождения между «кто может» и «кто должен» — это и есть находки аудита.
Как вести реестр устройств, чтобы аудит был возможен, разобрано в статье о доступе к нескольким компьютерам.
Исправляйте по риску
Не всё сразу и не по алфавиту, а от самого опасного.
- Первым — доступ людей, которых уже нет в компании. Это готовая дыра.
- Затем — общие пароли на группы машин: одна утечка открывает всю группу.
- Потом — доступ к критичным машинам (финансы, клиентские данные, кассы) без второго фактора.
- Дальше — забытые машины с постоянным паролем, которые перестали использовать, но не выключили.
- В конце — избыточные права: полный доступ там, где хватило бы просмотра.
Повторяйте регулярно
Разовый аудит наводит порядок один раз, а доступы копятся постоянно. Раз в квартал проходите по реестру заново, а критичные машины проверяйте чаще. Привяжите аудит к событиям — окончание проекта, уход человека — и к календарю одновременно. Разовый отзыв доступа при уходе конкретного человека разобран в статье об отзыве доступа, а операционные проверки вокруг сеансов — в чек-листе администратора. Что вообще проверять по безопасности — на профильной странице.
С чего начать аудит, если учёта не было вообще?
Со списка машин, а не со списка людей. Люди вспоминаются приблизительно, а машины можно перечислить точно — и уже от каждой машины идти к вопросу, у кого к ней есть доступ и почему.
Навели порядок один раз — почему через полгода всё снова разъехалось?
Потому что между проверками не работает отзыв доступа при уходе людей. Если он работает, достаточно раз в квартал заново сверять, кто и к каким машинам имеет доступ. Если нет — уборка остаётся разовой, и состояние возвращается к прежнему за пару месяцев, сколько её ни повторяй.