Cum securizează VaultPAM înregistrările sesiunilor
O înregistrare în care nu puteți avea încredere nu este o probă. Poate arăta activitate, dar nu poate răspunde întrebărilor mai dificile: este aceasta înregistrarea acelei sesiuni, a fost modificată, cine a vizualizat-o și a fost gestionată conform regulilor? De aceea, protejarea unei înregistrări înseamnă mai mult decât plasarea unui fișier în stocare. Este un lanț de inginerie care începe cu captura controlată și continuă cu criptarea, verificarea integrității, deciziile de acces, păstrarea și istoricul de audit. Acest articol explică modul în care VaultPAM construiește acel lanț, astfel încât o înregistrare să poată fi utilizată ca probă responsabilizabilă, nu tratată ca un artefact neverificat.
Pentru perspectiva de audit și investigație — întrebările pe care un evaluator le pune despre înregistrarea finalizată — citiți Înregistrarea sesiunilor ca probă de audit. Aceasta este perspectiva complementară: cum este gestionată înregistrarea pentru ca probele să fie demne de încredere.
Începeți cu calea de acces controlată
Încrederea nu poate fi adăugată doar după încheierea unei sesiuni. VaultPAM capturează înregistrări prin calea sa de acces controlată, fără agenți și bazată pe browser, intermedind sesiuni RDP, SSH, VNC și HTTP. Această cale oferă punctul în care o înregistrare este capturată ca parte a sesiunii privilegiate.
Acest lucru contează deoarece proba trebuie să rămână conectată la activitatea de acces pe care o reprezintă. Înregistrarea nu este pur și simplu un fișier convenabil de păstrat; este un registru protejat al unei sesiuni care a trecut prin calea controlată. Tot ce urmează este conceput în jurul aceleiași întrebări: se poate baza un evaluator pe acest artefact specific, în acest context specific?
Criptați fiecare artefact și asociați-l cu contextul său
În repaus, fiecare artefact al înregistrării este criptat cu AES-256-GCM folosind propria cheie de date pentru fiecare artefact. Aceasta este criptarea cu anvelopă: cheia de date protejează artefactul, iar un serviciu dedicat de gestionare a cheilor învelește cheia de date. Materialul de chei nu se află niciodată lângă datele pe care le protejează.
Separarea este deliberată. O înregistrare conține activitate privilegiată, astfel că protecția conținutului său nu ar trebui să depindă de tratarea înregistrării și a cheii ca un singur pachet. Criptarea cu anvelopă separă artefactul criptat de materialul de chei, permițând totodată fiecărui artefact să aibă propria cheie de date. Pe scurt, artefactul este protejat cu o cheie creată pentru acel artefact, iar cheia este protejată separat.
Criptarea singură nu este suficientă dacă textul cifrat poate fi mutat între contexte și acceptat ca și cum le-ar aparține. VaultPAM autentifică și metadatele contextuale ca date autentificate suplimentare: organizația, înregistrarea, artefactul și fragmentul. Aceasta este asocierea de context. Dacă textul cifrat este mutat sau reetichetat pentru un alt context, decriptarea eșuează.
Această alegere protejează sensul din jurul octeților, precum și octeții înșiși. Un evaluator nu ar trebui să presupună că un fragment criptat aparține în continuare înregistrării, artefactului, organizației și contextului de fragment afișate alături de acesta. Criptarea verifică această relație la decriptare.
Eliminați textul în clar numai după ce copia protejată a fost dovedită
Gestionarea sigură are un detaliu important al căii de scriere: textul în clar capturat local nu este eliminat doar fiindcă a fost inițiată o încărcare. Este eliminat numai după ce încărcarea criptată a fost persistată și o verificare de decriptare/recitire, octet cu octet, a reușit.
Ordinea este intenționată. Aceasta evită tratarea unei solicitări de încărcare drept dovadă că artefactul protejat este disponibil și poate fi citit. Condiția de persistență confirmă că încărcarea criptată a fost stocată; verificarea de decriptare/recitire confirmă că artefactul criptat poate fi verificat octet cu octet. Textul în clar capturat local este eliminat numai după îndeplinirea ambelor condiții.
Această regulă mică de secvențiere are o consecință probatorie importantă. Registrul protejat trebuie stabilit și verificat înainte de ștergerea textului în clar local. În caz contrar, o defecțiune între captură și persistența criptată verificată ar putea împiedica o organizație să se bazeze pe artefactul de înregistrare intenționat.
Când metadatele de înregistrare și probele se deplasează între servicii interne, aceste apeluri sunt autentificate reciproc cu mTLS. Autentificarea reciprocă asigură că părțile interne care transportă acel context de înregistrare se autentifică una pe alta.
Faceți modificările detectabile, apoi faceți verificarea repetabilă
Confidențialitatea și integritatea răspund la întrebări diferite. Criptarea protejează conținutul înregistrării în repaus. Integritatea întreabă dacă conținutul înregistrării rămâne coerent cu sesiunea înregistrată.
VaultPAM protejează conținutul înregistrării cu un lanț de hash SHA-256 peste fragmentele înregistrării. Păstrează manifeste de integritate durabile, iar un instrument de verificare fără conexiune poate reverifica orice înregistrare. Împreună, aceste elemente oferă unui verificator o modalitate repetabilă de a testa integritatea unei înregistrări, în loc să se bazeze pe afirmația că aceasta nu s-a schimbat.
Lanțul de hash face ca fragmentele individuale ale înregistrării să fie părți ale unei verificări ordonate a integrității. Manifestul durabil păstrează informațiile necesare verificării, iar instrumentul fără conexiune oferă o modalitate de a efectua din nou acea verificare când este nevoie de probă. Acest lucru este util în timpul unei revizuiri de rutină, al unei investigații sau al unui audit: întrebarea privind integritatea poate primi răspuns prin verificare, nu doar prin încredere.
Înregistrarea RDP nativă are o condiție suplimentară. Este necesar un fișier auxiliar de integritate a cadrelor, iar preluarea eșuează dacă verificarea sa nu este corectă. Astfel, integritatea cadrelor este o parte obligatorie a acceptării unei înregistrări RDP native, nu o verificare opțională efectuată ulterior.
Controlați cine poate vedea probele și înregistrați acel acces
O înregistrare protejată poate crea totuși risc dacă prea multe persoane o pot vizualiza sau exporta. VaultPAM separă permisiunile de a vedea sau reda o înregistrare de permisiunile de a o exporta sau descărca. Acestea sunt acțiuni distincte cu decizii de autorizare distincte.
Toate operațiunile de înregistrare sunt delimitate pentru fiecare organizație client. Aceasta se aplică operațiunilor referitoare la înregistrări, inclusiv accesului la probe. Limita este importantă deoarece o înregistrare are semnificație numai în contextul organizației și al înregistrării cărora le aparține.
VaultPAM înregistrează atât accesul reușit, cât și refuzurile de autorizare în jurnalul de audit. Rezultatul este un principiu simplu, dar important: accesul la probe este el însuși o probă. O redare sau un export reușit lasă un registru, la fel ca o tentativă neautorizată. Acest lucru face responsabilă revizuirea înregistrărilor fără a afirma că toate persoanele ar trebui să le poată accesa.
Păstrați înregistrările cu garanții operaționale
Păstrarea trebuie să echilibreze disponibilitatea probelor cu un ciclu de viață definit. VaultPAM oferă perioade de păstrare configurabile de 30, 90, 180 sau 365 de zile. Valoarea implicită este de 90 de zile, cu o perioadă de grație de 7 zile.
Reducerea unei perioade de păstrare primește garanții suplimentare. Aceasta necesită o autentificare intensificată recentă și o confirmare tastată de un administrator al platformei. Ștergerile rezultate sunt auditate, iar ștergerea respectă garanțiile de suspendare juridică.
Aceste garanții concentrează atenția asupra modificării care poate scurta disponibilitatea probelor de înregistrare. O reducere a păstrării nu este tratată ca o editare obișnuită a configurației: necesită un nou pas de autentificare, o confirmare tastată explicită și rolul de administrator al platformei. Activitatea de ștergere rezultată devine parte a istoricului de audit, în timp ce suspendările juridice rămân o garanție în procesul de ștergere.
Ce înseamnă acest lucru pentru cititorii NIS2 și SOC 2
Pentru cititorii NIS2, maparea de conformitate a VaultPAM leagă articolul 21 alineatul (2) litera (a) de pista de audit și înregistrarea sesiunilor pentru toate accesările privilegiate, iar articolul 21 alineatul (2) litera (b) de alerte în timp real privind sesiunile privilegiate suspecte și redarea completă a sesiunilor pentru investigarea incidentelor. Detaliile inginerești din acest articol ajută la explicarea motivului pentru care o înregistrare de sesiune poate susține această mapare: registrul este capturat prin calea controlată, protejat în repaus, asociat cu contextul său și poate fi verificat din punctul de vedere al integrității.
Pentru SOC 2, starea actuală este precisă: auditul de tip II este în desfășurare, raportul este așteptat în 2026. Protecția înregistrărilor trebuie evaluată prin controalele care pot fi demonstrate, inclusiv criptarea, verificarea, limitele de autorizare, garanțiile de păstrare și istoricul de audit, nu printr-un raport care încă nu a fost emis.
Pentru contextul de securitate mai larg al protecțiilor pentru înregistrări descrise aici, consultați pagina de securitate a VaultPAM.
Probele trebuie să poată fi testate, nu doar stocate
Rezultatul nu este promisiunea că o înregistrare stocată este de încredere doar pentru că există. Este un set de verificări și limite: captură controlată, criptare cu anvelopă cu o cheie de date per artefact, context autentificat, persistență criptată verificată înainte de eliminarea textului în clar local, verificarea lanțului de hash, permisiuni de acces distincte, operațiuni delimitate pentru fiecare organizație client și păstrare guvernată.
Acesta este standardul de inginerie din spatele unei înregistrări care poate avea greutate probatorie. Când întrebarea este ce s-a întâmplat într-o sesiune privilegiată, răspunsul ar trebui să se bazeze pe un registru al cărui conținut, context, acces și ciclu de viață pot fi toate examinate. Astfel, înregistrarea sesiunii devine o probă pe care o organizație se poate baza.