صاحب الموضوع
#1
Kullanılmayan veritabanı hesaplarının kapatılması, güvenlik ve operasyonel temizliğin temel parçalarından biridir. Bu konuyu birkaç somut açıdan ele almak istiyorum ve sizlerin deneyimlerini duymak isterim.
Birincisi, tanımlama süreci. Hangi hesapların “kullanılmıyor” olduğunu doğru belirlemek, veritabanı sisteminin log ve audit verilerini düzenli olarak analiz etmekle mümkün. Şirket dışı hesaplar, eski geliştirme veya test ortamı kullanıcıları, yalnızca yıllık rutin bakımlarında aktif olan hesaplar gibi kategorileri net şekilde işaretlemek gerekiyor. Aktiflik kriterlerini (son giriş tarihi, son işlem çeşitleri, rol değişiklikleri) yazılı politika olarak belirlemek ve buna göre temiz bir envanter çıkarmak gerekir.
İkincisi, güvenlik etkileri ve risk yönetimi. Kullanılmayan hesaplar küçümsense de yararlanılabilir bir giriş kapısı olabilir; özellikle sahip olunan yetkilerin fazlalığı veya yatay hareket kabiliyetinin olması risk yaratır. Hesapları kapatırken süreklilik gereksinimini de düşünmek lazım: otomatik süreçlerle izinsiz kullanıcılar yeniden açılabilir mi, entegre uygulamalar hangi hesapları referans ediyor, kimlik sağlayıcısı (SSO/LDAP) ile entegrasyonlar nasıl etkilenir?
Üçüncüsi, uygulanabilir adımlar. Öncelikle riskli hesaplar için geçici kilitlenme/ pasifleşme adımı, ardından sahiplik doğrulaması ve son olarak kalıcı kapatma. Prosedürde şu unsurlar olmalı: kim onaylayacak, hangi çevrimiçi ve iç poliçeler referans alınacak, geri alma süresi ne kadar olacak. Depolama ve yedekteki kullanıcılar da unutulmamalı; devre dışı hesaplar için uygun log kaydı ve denetim izleri tutulmalı.
Son olarak, süreci sürdürmek için bir kontrol döngüsü kurun. Her ay envanteri güncelleyin, yıl sonunda politikaları gözden geçirin. Deneyimleriniz var mı? Hangi araçlar veya yöntemler sizin için en işe yaradı? Özellikle hangi zorluklarla karşılaştınız ve bunları nasıl aştınız?
Birincisi, tanımlama süreci. Hangi hesapların “kullanılmıyor” olduğunu doğru belirlemek, veritabanı sisteminin log ve audit verilerini düzenli olarak analiz etmekle mümkün. Şirket dışı hesaplar, eski geliştirme veya test ortamı kullanıcıları, yalnızca yıllık rutin bakımlarında aktif olan hesaplar gibi kategorileri net şekilde işaretlemek gerekiyor. Aktiflik kriterlerini (son giriş tarihi, son işlem çeşitleri, rol değişiklikleri) yazılı politika olarak belirlemek ve buna göre temiz bir envanter çıkarmak gerekir.
İkincisi, güvenlik etkileri ve risk yönetimi. Kullanılmayan hesaplar küçümsense de yararlanılabilir bir giriş kapısı olabilir; özellikle sahip olunan yetkilerin fazlalığı veya yatay hareket kabiliyetinin olması risk yaratır. Hesapları kapatırken süreklilik gereksinimini de düşünmek lazım: otomatik süreçlerle izinsiz kullanıcılar yeniden açılabilir mi, entegre uygulamalar hangi hesapları referans ediyor, kimlik sağlayıcısı (SSO/LDAP) ile entegrasyonlar nasıl etkilenir?
Üçüncüsi, uygulanabilir adımlar. Öncelikle riskli hesaplar için geçici kilitlenme/ pasifleşme adımı, ardından sahiplik doğrulaması ve son olarak kalıcı kapatma. Prosedürde şu unsurlar olmalı: kim onaylayacak, hangi çevrimiçi ve iç poliçeler referans alınacak, geri alma süresi ne kadar olacak. Depolama ve yedekteki kullanıcılar da unutulmamalı; devre dışı hesaplar için uygun log kaydı ve denetim izleri tutulmalı.
Son olarak, süreci sürdürmek için bir kontrol döngüsü kurun. Her ay envanteri güncelleyin, yıl sonunda politikaları gözden geçirin. Deneyimleriniz var mı? Hangi araçlar veya yöntemler sizin için en işe yaradı? Özellikle hangi zorluklarla karşılaştınız ve bunları nasıl aştınız?
