ÇÖZÜMLER · 09
Her kararın arkasında bir kayıt.
Denetçi “bu istek neden engellendi” diye sorduğunda yanıt bir log satırı değil, kararın tüm gerekçesini taşıyan bir kanıt paketidir. Wardline bu paketi metni saklamadan üretir ve kaydın sonradan değiştirilmediğini kanıtlanabilir kılar.
SORUN
Log satırı kanıt değildir
Kararı açıklamak için prompt’u saklamak, kişisel veriyi log’a, yedeğe ve o log’u okuyan her sisteme taşımak demektir. Saklamamak ise kararın neden verildiğini sonradan kimsenin söyleyememesi demektir.
İkinci soru kaydın kendisidir: yöneticisi olan herkes bir veritabanı satırını değiştirebilir. Denetimde gereken, kaydın yazıldığı andan beri değişmediğinin bağımsız olarak doğrulanabilmesidir.
NASIL ÇALIŞIR
Adım adım
Altı katmanlı paket
ALLOW dışındaki kararlar ve bayrak taşıyan ALLOW altı katmanlı paket üretir: karar, gerekçe, alt kategori, kanıt, güven ve eylem haritası. Bayraksız ALLOW sıkıştırılmış kanıt üretir.
Konum, metin değil
Kanıt mesaj numarası, bayt aralığı, varlık türü ve doğrulama sonucunu taşır. Metin yerine anahtarlı HMAC yazılır; aynı değerin tekrarlandığı görülebilir, değerin kendisi okunamaz.
Kiracı başına zincir
Her kayıt bir öncekinin hash’ini içerir. Zinciri tek bir yazıcı sürdürür; araya kayıt eklemek ya da bir kaydı değiştirmek sonraki tüm hash’leri bozar.
Değiştirilemez depolama ve damga
Kayıtlar nesne kilidi açık bir depoya yazılır. Her gün kiracının Merkle kökü iç zaman damgası servisiyle mühürlenir.
Doğrulama ve SIEM
Bir kaydın kanıt yolu API’den alınır ve komut satırı aracıyla bağımsız olarak doğrulanır. Uyarılar Splunk HEC, syslog, Microsoft Sentinel ya da imzalı webhook ile SIEM’e iletilir.
KARARLAR
Bu trafikte hangi karar ne zaman çıkar
| Karar | Ne zaman | Örnek sebep kodu |
|---|---|---|
| ALLOW | Bayraksız ALLOW: karar, sebep kodu ve sürüm bilgisini taşıyan sıkıştırılmış kanıt. | POLICY.DEFAULT_ACTION |
| MASK | Maskelenen her değer için konum, varlık türü ve doğrulama; değerin kendisi yok. | POLICY.MASK_APPLIED |
| DENY | Bir bağımlılığa ulaşılamadı ve uygulama kapalı modda: red ve hangi bağımlılığın neden düştüğü kanıtta. | POLICY.FAIL_CLOSED |
ÖRNEK
Altı ay sonra gelen soru
İç denetim, mart ayında bir çağrı merkezi uygulamasında maskelenen bir isteği soruyor. Analist olay kimliğiyle kanıt paketini açar: hangi kural eşleşti, hangi bayt aralığında hangi varlık bulundu, hangi politika sürümü uygulandı. Denetçi aynı kaydın kanıt yolunu alır ve zincirin o günkü mühürlü köke bağlandığını kendi makinesinde doğrular.
| Karar | MASK |
|---|---|
| Olay | evt · kiracı zinciri sıra 88412 |
| Katmanlar | 6 · tam paket |
| Politika | v37 · imza doğrulandı |
| Mühür | günlük kök · zaman damgalı |
| Sebep kodları |
|
| Bayraklar | yok |
| Risk skoru | 0,99 |
YAPILANDIRMA
Yöneticinin belirledikleri
Saklama süresi
Kanıt ve denetim kaydının ne kadar tutulacağı; nesne kilidi süresiyle uyumlu.
İçerik görünümü
Varsayılan kapalıdır. Kurum isterse yetkili roller için maskeli içerik görünümü açılır; açma işlemi de denetim kaydına girer.
SIEM hedefleri
Hangi olay türlerinin hangi hedefe gideceği; hedef adresleri çıkış izin listesine tabidir.
Roller
Kanıtı kimin görebileceği sekiz rollü yetki modeliyle belirlenir.
İLGİLİ
Birlikte çalışan yetenekler
Kendi trafiğinizde görün.
Demo oturumunda bu akışı güvenlik ekibinizin seçtiği örneklerle, konsoldaki kanıt görüntüleyicide birlikte inceleriz.
Demo talep et