Przyznawaj dostęp na czas określony

Przyznawanie dostępu na czas określony ogranicza ryzyko pozostawienia niepotrzebnych, aktywnych uprawnień.

Dostęp czasowy jako kontrola uprawnień

Przyznawanie dostępu na czas określony polega na tym, że konto, rola albo pojedyncze uprawnienie otrzymuje zaplanowany termin rozpoczęcia i zakończenia. Po upływie tego terminu dostęp powinien zostać automatycznie odebrany, wyłączony albo oznaczony jako wymagający ponownej akceptacji. Takie rozwiązanie ogranicza okres, w którym użytkownik, program lub urządzenie może korzystać z określonych zasobów. Dotyczy to między innymi plików, udziałów sieciowych, kont systemowych, paneli administracyjnych, usług zdalnego pulpitu oraz aplikacji działających w środowisku firmowym.

W praktyce czas ważności może być przypisany do całego konta albo do konkretnej roli. Konto technika może działać stale, ale uprawnienie administratora może być aktywne tylko przez czas zaplanowanej pracy. Podobnie użytkownik może mieć stały dostęp do własnych dokumentów, natomiast dostęp do katalogu z kopią zapasową lub ustawień systemowych może być udzielany wyłącznie na określone okno czasowe. Rozdzielenie tych zakresów zmniejsza skutki pozostawienia aktywnej sesji, nieużywanego konta lub nadmiarowej roli.

Jak wyznaczać początek i koniec uprawnienia

Okres dostępu powinien wynikać z rzeczywistego zadania, a nie z wygody osoby nadającej uprawnienie. Jeżeli użytkownik potrzebuje dostępu do pliku podczas jednego spotkania, uprawnienie nie powinno obowiązywać przez cały miesiąc. Jeżeli technik wykonuje zaplanowaną konfigurację komputera, można określić przedział obejmujący przygotowanie, pracę i kontrolę po zmianach. W systemach obsługujących takie funkcje należy ustawić datę oraz godzinę wygaśnięcia, a także poprawną strefę czasową. Błędna strefa lub niezsynchronizowany zegar może spowodować zbyt wczesne odebranie dostępu albo pozostawienie go dłużej, niż zakładano.

Ważne jest również określenie zachowania po wygaśnięciu. Samo zakończenie czasu ważności nie zawsze oznacza natychmiastowe przerwanie już otwartej sesji. Niektóre systemy blokują nowe logowania, ale pozostawiają istniejącą sesję do chwili jej zamknięcia; inne mogą wymusić wylogowanie lub unieważnić token uwierzytelniający. Z tego powodu konfiguracja powinna obejmować zarówno termin nadania, jak i sposób unieważnienia aktywnych sesji, kluczy dostępu, zapamiętanych poświadczeń oraz połączeń zdalnych. Po zakończeniu zadania warto sprawdzić w dzienniku zdarzeń, czy konto rzeczywiście utraciło wymagane uprawnienie.

Role, konta i ślady wykonanych zmian

Najbezpieczniej ograniczać czasowo konkretne role zamiast nadawać użytkownikowi pełny dostęp do całego systemu. Rola może pozwalać na odczyt danych, modyfikację wybranych plików albo wykonanie jednej operacji administracyjnej. Im węższy zakres roli, tym łatwiej zweryfikować, czy dostęp był potrzebny i czy został odebrany. Konto współdzielone utrudnia ustalenie, kto faktycznie wykonał operację, dlatego przy dostępie czasowym należy preferować indywidualne konta użytkowników lub jednoznacznie identyfikowane konta techniczne.

Każde nadanie, przedłużenie i odebranie uprawnienia powinno pozostawić zapis zawierający co najmniej identyfikator konta, zakres dostępu, osobę lub proces dokonujący zmiany oraz czas operacji. Dzienniki systemowe pomagają wykryć sytuację, w której termin został przedłużony bez uzasadnienia albo dostęp wygasł, lecz konto nadal korzysta z zasobu przez inną rolę. Kontrola powinna obejmować także grupy lokalne systemu Windows, listy kontroli dostępu NTFS, udziały sieciowe, profile przeglądarek, zapisane klucze SSH oraz aplikacje korzystające z własnego mechanizmu autoryzacji. Odebranie jednej roli nie usuwa automatycznie innych niezależnych sposobów dostępu.

Weryfikacja na laptopie i komputerze PC

Na komputerze przeznaczonym do pracy warto rozpocząć od ustalenia, jakie konta są aktywne, do jakich grup należą i które usługi umożliwiają logowanie zdalne. W systemie Windows można sprawdzić członkostwo w lokalnych grupach poleceniem whoami /groups, a informacje o użytkownikach i grupach przeanalizować za pomocą narzędzi administracyjnych systemu. Weryfikacja nie powinna ograniczać się do samej nazwy konta, ponieważ użytkownik może odzyskać dostęp przez członkostwo w grupie, odziedziczone uprawnienia folderu albo zapisane poświadczenia. Po zakończeniu określonego okna pracy należy sprawdzić próbę ponownego logowania, dostęp do wcześniej udostępnionego katalogu oraz wpisy w Podglądzie zdarzeń.

Warszawskie Pogotowie Komputerowe zajmuje się profesjonalną naprawą laptopów, komputerów PC i podzespołów, dlatego przy diagnostyce problemu z dostępem można sprawdzić lokalne konta, konfigurację uprawnień, zasady logowania oraz działanie usług systemowych. Przed zmianą konfiguracji należy ustalić, czy ograniczenie wynika z wygaśnięcia uprawnienia, błędnej daty systemowej, uszkodzonego profilu użytkownika, niedostępnego kontrolera domeny czy nieprawidłowych wpisów kontroli dostępu. Po naprawie trzeba ponownie przetestować dostęp zarówno w czasie jego ważności, jak i po ustalonym terminie wygaśnięcia, aby potwierdzić, że mechanizm działa zgodnie z założeniem.