Neler Kaydedilir
Ayrıcalıklı oturum kaydı, yönetimsel etkinliği gerçekleştiği anda yakalar: RDP ekranlarının video benzeri tekrarı, SSH oturumlarının tam terminal çıktısı ve genellikle bu sırada girilen tuş vuruşları ile komutlar. Kayıt, oturumu aracılayan geçit veya vekil katmanında yapıldığı için yöneticinin hedef sistemde hangi araçları kullandığından bağımsız olarak çalışır.
Kayıtlar; kullanıcı, hedef sistem, kullanılan hesap, başlangıç ve bitiş zamanları ile oturumu yetkilendiren onay gibi üst verilerle birlikte merkezî olarak saklanır. Tuş vuruşu ve komut dizinleme arşivi aranabilir kılar; böylece bir soruşturmacı saatlerce görüntü izlemek yerine belirli bir komutun çalıştırıldığı her oturumu bulabilir.
Neden Önemli
Hedef sistemdeki kayıtlar bir yönetici hesabının oturum açtığını söyler; oturum kaydı ise o kişinin tam olarak ne yaptığını gösterir. Bu, ortak hesapların, üçüncü taraf yüklenicilerin ve uzak tedarikçilerin yarattığı hesap verebilirlik boşluğunu kapatır; çünkü oturum açma bilgisi tek başına kişiyi ve eylemlerini tanımlamaz.
Kayıt aynı zamanda davranışı değiştirir. Oturumların kaydedildiğini bilen yöneticiler kestirme yollara daha az başvurur; bir kesinti veya değişiklik penceresi sırasında ne olduğuna dair anlaşmazlıklar oturum tekrar izlenerek çözülebilir. Uyumluluk tarafında, finansal sistemleri, kart verilerini ve kritik altyapıyı kapsayan çerçeveler ayrıcalıklı faaliyetin kanıtlanabilir gözetimini giderek daha fazla beklemektedir ve oturum kayıtları eldeki en güçlü kanıtlar arasındadır.
Oturum Kaydını Uygulamak
Pratik yol, her sunucuya kayıt yazılımı kurmak yerine ayrıcalıklı oturumları kayıt yapan bir aracı katmandan geçirmeye zorlamaktır. Ardından hedeflere erişim kısıtlanır; aracıyı atlayan oturumlar engellenir veya işaretlenir. Ekipler, adli değer ile depolama maliyetini dengelemek için saklama süreleri tanımlar ve kayıtların kendisi de hassas olduğundan bunları kimlerin izleyebileceğini sınırlar.
Kaydı gerçek zamanlı kontrollerle eşleştirmek iyi bir uygulamadır; örneğin canlı bir oturumu izleyip ters giden bir şey görüldüğünde sonlandırabilmek gibi. Monopam gibi platformlar tarayıcı tabanlı RDP ve SSH oturumlarının video ve tuş vuruşu kaydını geçit üzerinde yapar; böylece hedef sistemlere ajan kurulması gerekmez.