მთავარი დასკვნა
JIT წვდომას თავისთავად უსაფრთხოს არ ხდის. თითოეული მოთხოვნა დაუკავშირეთ გადამოწმებულ იდენტობას, კონკრეტულ ამოცანას, მინიმალურ უფლებებს, ვადის გასვლის დროსა და შემდგომ განხილვას.
განსაზღვრეთ ამოცანა, რესურსი და წვდომის ფანჯარა
საჭიროების მომენტში (JIT) წვდომა გაზრდილ უფლებებს მოთხოვნისას ანიჭებს კონკრეტული ამოცანისა და შეზღუდული დროისთვის. მაგალითად, ადმინისტრატორს შეუძლია მიიღოს დროებითი როლი ერთი სერვერის დიაგნოსტიკისთვის ყველა სისტემაზე მუდმივი უფლებების ნაცვლად. აღრიცხეთ პირის ან აპლიკაციის იდენტობა, სამიზნე რესურსი, მოქმედება, მიზეზი და ვადა. ადამიანები მრავალფაქტორიანი ავთენტიფიკაციითა (MFA) და მოწყობილობის შემოწმებებით დაადასტურეთ. ავტომატიზაცია ადამიანურ MFA‑მოთხოვნას ვერ უპასუხებს: გამოიყენეთ ცალკე აპლიკაციის იდენტობა, მინიმალური უფლებები და, მხარდაჭერისას, ხანმოკლე ავტორიზაციის მონაცემები. JIT ხანგრძლივობას ზღუდავს, მინიმალური პრივილეგია კი — ფარგლებს; ორივე საჭიროა.
განსაზღვრეთ დამტკიცება და წვდომის ავტომატური გაუქმება
დამტკიცების წესები რისკით განსაზღვრეთ: დამტკიცებული დაბალი გავლენის ამოცანა შეიძლება ავტომატურ გადაწყვეტილებას ექვემდებარებოდეს, ხოლო საწარმოო გარემოზე, მონაცემებზე ან ფართო სისტემურ არეალზე მოქმედ წვდომას ცალკე უფლებამოსილი დამტკიცება სჭირდებოდეს. გამოიყენეთ მოკლე ნაგულისხმევი ფანჯარა, გაგრძელებისთვის ახალი დასაბუთებული მოთხოვნა მოითხოვეთ და ამოცანის დასრულებისას ან ვადის გასვლისას წვდომა გააუქმეთ. ნორმალური წვდომის მიუწვდომლობისას შეინარჩუნეთ ცალკე საგანგებო წვდომის პროცესი შეტყობინებითა და შემდგომი განხილვით.
აღრიცხეთ სესიები და განიხილეთ უფლებები
მოთხოვნა, გადაწყვეტილება, მინიჭებული როლი, სესიის დრო და მოქმედებები გამოძიებისთვის მზა ჟურნალში შეინახეთ. მგრძნობიარე სისტემებში სესიის ან ბრძანებების ჩაწერისას მოქმედ სამართლებრივ და შიდა წესებს მიჰყევით. რეგულარულად განიხილეთ გამოუყენებელი როლები, წვდომის გაგრძელებები და ავტომატიზაციის ანგარიშები. თუ სისტემა JIT‑ს ვერ უჭერს მხარს, გამოიყენეთ მინიმალური მუდმივი უფლებები, ადამიანებისთვის MFA, მონიტორინგი და რეგულარული ხელით გაუქმების პროცესი. გამოცადეთ, როდის წყვეტს როლი, ღია სესიები და ტოკენები მუშაობას ვადის გასვლის შემდეგ; როლის გაუქმებამ შეიძლება ყველა აპლიკაციის სესია დაუყოვნებლივ არ დაასრულოს.