Nedir
Tarayıcında çalışan ücretsiz bir erişim denetimi masası. Basit rol listelerini ya da CSV dışa aktarımlarını okur, tek bir matrise, bir yol bulucuya ve önem sırasına dizilmiş bir risk listesine dönüştürür.
Erişim denetimi haritası
Kim neye dokunabiliyor? Denetçi sormadan haritayı çiz.
Rollerini ve her rolün neler yapabildiğini, sonra hangi rolün kimde olduğunu yapıştır. Permission Map her izni reddin izne üstün geldiği kuralla çözer, erişim matrisini çizer, bir kişiden herhangi bir kaynağa giden yolu izler ve olaylara yol açan birleşimleri işaretler.
Kimin için
Güvenlik anketine hazırlanan kurucular, rolleri toparlayan yöneticiler, denetim öncesindeki mühendislik liderleri ve kendisine müşteri verisini kimin silebileceği sorulan herkes için.
Hangi sorunu çözer
Erişimle ilgili gerçek bilgi kimlik sağlayıcısına, tablolara ve eski kayıtlara dağılmış durumda. Aynı kişinin bir ödemeyi hem oluşturup hem onaylayabildiğini, iş işten geçene kadar kimse görmez.
Rollerinin haritasını çıkar
Her şey bu sekmede okunur ve çözülür. Yapıştırdığın hiçbir şey yüklenmez ya da saklanmaz.
Her satıra bir rol, örneğin support: tickets:*, customers:read. Başa konan ! reddetmek anlamına gelir. role, resource, action, effect sütunlu CSV de olur.
İsteğe bağlı. Her satıra bir kişi, örneğin deniz: finance_clerk, finance_lead. Bu liste olmadan her rol kendi başına kontrol edilir.
Henüz harita yok
Rollerini yapıştır ya da her risk türünü görmek için örnek şirketi yükle.
Listelerin bu sayfadan hiç çıkmaz. Rapor yalnızca rol adlarını, kaynakları ve bulguları içerir.
Her risk ne anlama gelir
Kişi listesini eklersen birleşik kontroller kişilere, eklemezsen tek tek rollere bakar.
Görevler ayrılığı Yüksek
Aynı kişi tek bir kaynakta hem oluşturup hem onaylayabiliyor ya da hem talep edip hem yayınlayabiliyor. Dolandırıcılığın çoğu ve kesintilerin birçoğu burada başlar.
Tam yönetici Yüksek
*:* olan bir rol her şeyi yapabilir, henüz var olmayan şeyler dahil. Bunu mümkün olduğunca az kişide tut.
Yetki yükseltme Yüksek
Rol atayabilen ya da izinleri düzenleyebilen kişi kendine başka her şeyi verebilir, yani gerçek erişimi her şeydir.
Denetim kaydını kurcalama Yüksek
Kayıtları silmek ya da düzenlemek, birinin yaptığını gizlemesini sağlar. Denetim kayıtlarına yalnızca ekleme yapılabilmeli.
Hassas veride joker Orta
Gizli anahtarlar, ödemeler ya da kişisel veri için resource:* gelecekte eklenecek her işlemi de sessizce kapsar.
Kişisel veri dışa aktarımı Orta
Müşteri verisinin toplu dışa aktarımı ya da indirilmesi, bildirilmesi gereken veri sızıntılarına giden en yaygın yoldur.
İzin ve ret çakışması Orta
Bir rol aynı işleme hem izin veriyor hem reddediyor. Ret kazanır, izin boşa durur ve denetleyenin kafasını karıştırır.
Etkisiz ret Düşük
Hiçbir izin ulaşmadığı için hiçbir şeyi engellemeyen bir ret satırı. Zararsız ama asıl niyeti gizler.
Tekrarlanan izin Düşük
Aynı izin iki kez geçiyor. Temiz listeleri denetlemek daha kolaydır.
Bilinmeyen rol Düşük
Birine hiç izni olmayan bir rol atanmış. Genelde yazım hatasıdır, bazen de yalnızca bir sistemde silinmiş bir roldür.
Kullanılmayan rol Düşük
İzinleri olan ama kimsede bulunmayan bir rol. Eski roller ileride yanlışlıkla yeniden atanır.
Okuduğu biçimler
Dilediğin gibi karıştır. Adlarda büyük küçük harf fark etmez, boşluklar alt çizgiye dönüşür.
Rol satırları
support: tickets:*, customers:read, !customers:deleteRol, iki nokta, ardından virgülle ayrılmış izinler. resource.action biçimi de çalışır.
CSV dışa aktarımı
role,resource,action,effect
ops,servers,restart,allowVirgül, noktalı virgül ya da sekme. effect sütunu isteğe bağlıdır, yazılmazsa izin sayılır.
Kişiler
deniz: finance_clerk, finance_leadKişi, iki nokta, roller. Ya da kişi ve rol olmak üzere iki sütun, her atama için bir satır.
Nasıl kullanılır
Rolleri yapıştır
Yönetim panelinden dışa aktar ya da elle yaz. Tüm kaynaklar ya da tüm işlemler için * kullan.
Kişileri ekle
İsteğe bağlı ama çok işe yarar. İki rolü aynı anda taşımaktan doğan riskler ancak kişi listesiyle görünür.
Bulguları oku
Önce yüksek riskler gelir. Her biri kişiyi, rolleri ve soruna yol açan satırları tek tek söyler.
Matrise ve yollara bak
Roller ve kişiler arasında geçiş yap, sonra belirli bir işlemi kimin yapabildiğini sor ve her yolu izle.
Kanıtı sakla
Matris CSV dosyasını indir, raporu SHA 256 değeriyle birlikte erişim denetimi kaydına kopyala.
Bilmekte fayda var
- İzin, ret ve jokerleri modeller. Günün saati, IP aralıkları ya da kaynak sahipliği gibi koşullar değerlendirilmez.
- Rol kalıtımı kendiliğinden izlenmez. Devralınan izinleri alt rolde de listele.
- Sisteminin uyguladığını değil, listelerinin söylediğini gösterir. Gerçek bir dışa aktarımla karşılaştır.
- Risk kuralları approve, export ve audit gibi yaygın adları kullanır. Alışılmadık adlar için küçük bir yeniden adlandırma gerekebilir.
Sorular
Kimlik sağlayıcımdan aldığım dışa aktarımı yapıştırabilir miyim?
Evet, rol, kaynak ve işlem satırlarına dönüştürebiliyorsan. Çoğu yönetim panelinin CSV çıktısı fazla sütunlar silinince uyar.
Neden ret kazanıyor?
Neredeyse her erişim sistemi böyle çalışır. Kaç rol izin verirse versin tek bir ret işlemi engeller.
Sistemlerimde bir şeyi değiştiriyor mu?
Hayır. Yalnızca yapıştırdığını okur. Uygulama gerçek erişim denetiminde kalır.
Yüksek bir riskle ne yapmalıyım?
Rolü böl, kişiden iki rolden birini al ya da açık bir ret ekleyip istisnayı kimin onayladığını not et.