Gölge BT'yi Ağ Verisinden Görünür Kılmak

Bir ekip dosya paylaşmak için kurumun aracını yavaş bulur ve kişisel bir bulut hesabı açar. Başka bir ekip proje takibi için ücretsiz bir hizmete kaydolur.

Hiçbiri kötü niyetli değildir. Hepsi işini hızlandırmaya çalışır ve bu, çalışmanın çıkış noktası olmalıdır.

Adım 1. DNS’ten Başlayın

En ucuz ve en kapsayıcı kaynak budur. Bir hizmet kullanılıyorsa, adı mutlaka çözülmüştür.

Kurum çözümleyicisinden alınan kayıtlar, çözülen alan adlarını sıklığa göre listeler. Bilinen kurumsal hizmetler elendiğinde geriye kalan liste, envanterin taslağıdır.

Bir ön koşul vardır: istemciler kurum çözümleyicisini kullanıyor olmalıdır. Şifreli DNS ile dışarı çıkan bir istemci bu listede hiç görünmez; ayrıntısı kurum DNS’ini zorunlu kılmak rehberindedir.

Adım 2. Uygulama Raporunu Alın

Güvenlik duvarının uygulama tanıma raporu, DNS listesini tamamlar.

Bu kaynak, alan adından çıkarılamayan bilgiyi verir: hangi hizmetin hangi işlevi kullanılıyor, hangi kullanıcı grubu kullanıyor, ne sıklıkla.

İki listeyi karşılaştırmak da bilgi üretir. DNS’te görünüp uygulama raporunda görünmeyen hedefler, cihazın tanımadığı hizmetlerdir ve ayrıca incelenmelidir.

Adım 3. Hacmi Ölçün

Kullanılıyor olmak ile veri taşınıyor olmak farklı şeylerdir.

Akış kayıtlarından her hedefe giden yükleme hacmi ayrı hesaplanır. Bu, listeyi önceliklendiren sayıdır.

Bir hizmete ayda birkaç megabayt gidiyorsa merak konusudur. Gigabaytlarla ölçülüyorsa, kurumsal veri orada tutuluyor demektir ve karar acildir.

Adım 4. Sınıflandırın

Liste çıktığında ilk tepki hepsini engellemek olur. Bu tepki, çalışmanın değerini yok eder.

Üç sınıfa ayrılır:

Onaylı hale getirilecekler. Yaygın kullanılan, gerçek bir ihtiyacı karşılayan ve kurumsal sözleşmeye alınabilecek araçlar.

Tolere edilebilecekler. Kurumsal veri taşımayan, düşük riskli hizmetler. Engellenmeleri kazanç getirmez.

Kabul edilemezler. Kişisel veri işlenen, kurumsal belge yüklenen ve sözleşmesiz sağlayıcılarda duran hizmetler.

Bu ayrım ağ ekibi tarafından tek başına yapılamaz. Hukuk birimi ve ilgili iş birimleri karara dahil olmalıdır.

Adım 5. İhtiyacı Okuyun

Bu adım, çalışmanın asıl çıktısıdır ve en sık atlanandır.

Bir araç yaygın kullanılıyorsa, karşılanmamış bir ihtiyaç vardır. Sorulacak soru şudur: kurumun sunduğu alternatif neden tercih edilmiyor?

Cevaplar genellikle şunlardan biridir. Alternatif yavaştır, alternatif dış paydaşlarla paylaşıma izin vermez, alternatifin varlığı bilinmiyordur ya da alternatif hiç yoktur.

Son iki cevap ucuza çözülür ve gölge kullanımın büyük kısmını ortadan kaldırır.

Adım 6. Politikayı Yazın ve Duyurun

Karar verildikten sonra uygulama iki parçalıdır.

Teknik taraf. Kabul edilemez hizmetler engellenir. Engelleme DNS seviyesinde ya da uygulama seviyesinde yapılabilir; ikincisi daha ince çözünürlük verir. Sinkhole yaklaşımı, engellemeden önce gerçek kullanım sayısını ölçmek için kullanılabilir.

İletişim tarafı. Kararın gerekçesi ve onaylı alternatifler duyurulur.

İkincisi atlandığında olan şey öngörülebilir: engellenen araç yerine başka bir araç bulunur. Çalışanın çözmeye çalıştığı ihtiyaç ortadan kalkmamıştır ve bir sonraki araç daha zor tespit edilir.

Bu Çalışma Ne Zaman Tekrarlanır

Envanter bir kez çıkarılıp bitirilmez. Yeni hizmetler sürekli ortaya çıkar.

Periyodik bir rapor kurulması pratik çözümdür: kurumda ilk kez görülen hedefler, aylık olarak listelenir ve gözden geçirilir.

Bu rapor aynı zamanda güvenlik açısından da değerlidir; yeni kayıtlanmış bir alan adına giden trafik, komuta kanalının da ilk işareti olabilir.