Monopam denetim ve uyum kanıtları
Neler değişti
Her içerik güncellemesi sürümlenir. Bir sürümü seçerek öncekiyle karşılaştırın.
Sürüm 1 → 2
Güncelleme3 ders güncellendisüre
İçerik güncellemesi. Kayıtlı öğrenciler bilgilendirildi.
Süre 10 dakikadan 12 dakikaya değişti.
Denetçiler nadiren "günlükleri gösterin" der. Bir kişi, bir sistem ve bir dönem hakkında somut bir soru sorarlar. Monopam her oturuma ve her gösterime aracılık ettiği için bu soruların çoğunun bakılacak tek bir doğru yeri vardır.
| Denetçi sorar | Yanıt nerede | Burada değil |
| --- | --- | --- |
| Geçen çeyrekte bu sunucuya kim erişti, kim onayladı ve ne yaptı? | Sunucunun oturum geçmişi; onayları ve kayıtlarıyla birlikte okunur: aracılı her oturum adı belli bir kullanıcıya aittir, onayına ve kaydına bağlıdırkaydı `Recordings` altındadır, arkasındaki onay ise `Requests` altındaki ilgili taleptir | `Live Sessions` yalnızca şu an bağlı olanları gösterir. `Requests` tek başına onayları tutar ama yapılanı göstermez |
| Bu parolayı gerçekten kim görüntüledi ya da kopyaladı? | Alan adı ve kullanıcıyla birlikte `Vault Revealed / Copied` denetim olayı | Öğenin sayfasını açmak gösterim değildir |
| Hangi oturumları bir yapay zekâ asistanı açtı ve neleri çağırdı? | `Recordings` ve `Live Sessions` içindeki `AI` rozeti ile her araç çağrısı için bir `MCP Tool Call` denetim satırı | Rozetsiz oturum Monopam MCP sunucusu üzerinden açılmamıştır |
| Kiracıdaki tüm erişim taleplerini gösterin | `Everyone` kapsamıyla `Requests` | Varsayılan `Mine` kapsamı yalnızca sizin taleplerinizi ve kararınızı bekleyenleri listeler |
::diagram pam-evidence-map
Bu yanıtları sağlam kılan üç ayrıntı vardır.
**Gösterim alan bazında kaydedilir.** Bir vault öğesinin birden çok korumalı alanı olabilir ve olay, gösterilen ya da kopyalanan alanı adlandırır. Değer 30 saniye sonra ekrandan kaybolur ama bu bir kolaylıktır, kontrol değildir: ekran görüntüsünü engellemez. Kanıt olaydır.
**Araç çağrıları başarılı da olsa başarısız da olsa kaydedilir.** Her `MCP Tool Call` satırı aracı, sonucu ve argümanları taşır; sır gibi görünen argüman değerleri maskelenir. Asistan, arkasındaki kullanıcının ya da kimliğin yetkileri ve politikalarıyla çalışır; rozet oturumun nasıl açıldığını söyler, farklı kuralların uygulandığını değil.
**`Everyone` kapsamı bir yetki ister.** Yalnızca kendi taleplerini gören ve `Everyone` seçeneği bulunmayan bir iç denetçide `monopam.requests.full` eksiktir. Onaylayan olarak atanmak bu yetkiyi vermez. Sunucu, ekranla aynı kuralı uygular.
### Kayıtlardaki notlar kanıt değildir
İnceleyenler bir kaydın belirli bir anına not bırakabilir; notlar varsayılan olarak `Shared` durumundadır. Notlar inceleme malzemesidir. Değiştirilmeye karşı korunan denetim zincirinin parçası değildir, yazarı kendi notunu düzenleyebilir, süper yönetici herkesin notunu silebilir ama yeniden yazamaz.
Bu, bir not yanlış gittiğinde önem kazanır. Bir inceleyenin paylaşılan bir nota üretim parolası yapıştırdığını ve izne çıktığını düşünün. Süper yönetici notu siler. Silmek hiçbir şeyi döndürmez ve not çoktan okunmuş olabilir; bu yüzden parola açığa çıkmış sayılır ve döndürülür. Olay dosyası metne ihtiyaç duyuyorsa silmeden önce kopyalayın.
> İpucu: denetimden önce prova yapın. Denetçinin kullanacağı hesapla oturum açın, `Requests` sayfasını açın ve `Everyone` seçeneğinin orada olduğunu doğrulayın. Eksik bir `monopam.requests.full` izni bir hafta önceden kolayca düzeltilir, toplantıda fark edilmesi ise sıkıntılıdır.
Her denetimde iki soru geri gelir: "bu tedarikçi sistemlerimizde ne yaptı?" ve "bu konumda ne oldu?". Monopam'de her biri için hazır bir rapor ve tedarikçi hesapları için bir inceleme süreci vardır.
### Tedarikçi Activity Report
`Vendors` sayfasında bir tedarikçinin satır menüsü `Activity Report` sunar. Bir dönem seçin ve `Export CSV` ya da `Export PDF` kullanın. Dosya, o tedarikçinin kullanıcılarının yaptığı bağlantıları kullanıcı, e-posta, kaynak, tür, durum, başlangıç zamanı, son etkinlik ve oturumun kaydedilip kaydedilmediği bilgisiyle listeler. Bu, bir denetçinin tek bir tedarikçi için istediği çeyreklik dosyanın ta kendisidir.
Dışa aktarmanın kendisi de iz bırakır: her biri denetim izine biçim, dönem ve satır sayısıyla birlikte `Downloaded` olayı olarak yazılır. Böylece raporun kopyasını kimin aldığını da gösterebilirsiniz.
### Site raporu ve tek tuzağı
Her sitenin aynı türde, aynı dışa aktarmalara sahip bir etkinlik raporu vardır. "Bu konumda ne oldu" sorusunu yanıtlar ama oturumu taşıyan gateway'den değil, **siteye atanmış kaynaklardan** oluşturulur.
Bu yüzden bir fabrika gerçekte yoğunken kâğıt üzerinde sessiz görünebilir. Fabrikanın gateway'leri siteye atanmış ama sunucuları hiç atanmamışsa gateway'ler yüzlerce oturum taşır, site raporu ise boş kalır. `Sites` listesindeki `Resources` sayısına bakın, kaynakları atayın (`Advanced` > `Site`); rapor dolar.
::diagram pam-site-report
### Tedarikçi erişim incelemeleri
Bir tedarikçideki `Start Access Review`, inceleyenden tedarikçinin her harici kullanıcısı için karar vermesini ister.
| Karar | Etki |
| --- | --- |
| Approve | Erişim korunur. Hiçbir şey değişmez |
| Reject | Hesap devre dışı bırakılır ve canlı oturumları kesilir. Değişiklik yaklaşık bir dakika içinde görünür |
Bunu inceleyenlere başlamadan önce söyleyin. Bakım penceresinin ortasındaki bir yükleniciyi reddetmek o işi hemen bitirir. Yanlışlıkla reddedilen kullanıcı `Users` sayfasından yeniden etkinleştirilebilir. İncelemenin başlatılması ve her devre dışı bırakma denetim izine yazılır; bu, incelemenin yapıldığının kanıtıdır.
### Üç aylık rutin
1. Her tedarikçinin çeyreğe ait `Activity Report` çıktısını dışa aktarın ve dosyalayın.
2. `Sites` listesinde her sitenin `Resources` sayısını orada olduğunu bildiğiniz kaynaklarla karşılaştırın. Yoğun bir fabrikanın yanındaki sıfır, boş rapor demektir.
3. Her tedarikçi için `Start Access Review` çalıştırın ve inceleyenlere `Reject` kararının canlı oturumları kestiğini önceden söyleyin.
Bir kayıt, ancak ne söylediğini ve ne söylemediğini biliyorsanız kanıttır. Üç kayıt türü kolayca yanlış okunur.
::diagram pam-record-limits
### Keşif çalıştırmaları
Her keşif çalıştırması çalıştırma geçmişinde tutulur ve bulguları ona bağlanır. **90 günden** eski çalıştırmalar günde bir kez silinir. Bunu değiştiren bir ayar yoktur. Bulgular kalır, yalnızca çalıştırmayla bağlarını yitirirler.
Uyum açısından bu, önceden planlama demektir. Gelecek yılın denetimi yıl içindeki her keşif çalıştırmasının kanıtını isteyecekse çalıştırma kayıtlarını var oldukları sürede, örneğin aylık bir kontrolün parçası olarak alın. Denetçinin talebini beklemek, 90 günden eski her şey için çok geçtir.
Bulguları okumak da aynı özeni ister:
| Bulgu | Nasıl okunmalı |
| --- | --- |
| sudoers içinde olmayan, uid 0 olan bir Unix hesabı | Gerçek bir yönetici. uid 0, adı ne olursa olsun her zaman yönetici olarak işaretlenir |
| `Exclude Built-in Accounts` açık ama uid 0 bir hesap görünüyor | Doğru. Seçenek düşük uid'li sistem hesaplarını dışarıda bırakır ama root'u ya da başka bir uid 0 hesabını asla bırakmaz |
| Sıradan hesap olarak görünen bir sudo ya da wheel kullanıcısı | Yöneticileri listeleyemeyen ajan başarısız olmak yerine hesapları bu işaret olmadan döndürür. `Logs` satırlarında uyarı görünür |
| Çalıştırma tamamlandı ve bir hesap listede yok | Hesabın var olmadığının kanıtı değildir. Önce o ana bilgisayarın `Logs` satırlarına bakın |
Can yakan son satırdır. Bir müşteri, son çalıştırma listelemediği için yerel bir yönetici hesabının artık olmadığına dair yazılı onay ister. Tamamlanmış bir çalıştırma yine de okuyamadığı satırları atlamış ya da yönetici listesini alamamış olabilir. Herhangi bir şeyi imzalamadan önce ana bilgisayarın `Logs` satırlarını okuyun.
### Sırların makinelerce okunması
Pipeline'lar ve operatörler sırları makine kimlikleriyle, çoğu zaman dakikada bir okur. Denetimi okunur tutmak için Monopam'de `System` > `Secrets API` altında, varsayılanı 10 olan `Machine read audit window (minutes)` ayarı vardır. Pencere içinde aynı kimliğin aynı okumayı yinelemesi yalnızca bir sayacı artırır ve sonraki kayıt kaç okumayı içerdiğini söyler. Oturum açmalar, yazmalar ve insan gösterimleri her zaman tek tek kaydedilir.
Bir düzenleyici, örneğin bir ödeme pipeline'ı için okuma başına bir kayıt istiyorsa pencereyi `0` yapın. O zaman her okuma kendi satırını alır ve denetim tablosu buna göre büyür.
Vault uyumlu API üzerinden gelen okumalar ve oturum açmalar denetimde `(Vault-compatible API)` son ekini taşır. Aynı kimliği kullanan HashiCorp Vault tarzı bir istemciyi Monopam CLI'dan böyle ayırırsınız.
### Veritabanı ifadeleri
Veritabanı proxy'si **ifade başına** bir denetim kaydı yazar ve verilen kararı belirtir: izin verildi, engellendi, maskelendi ya da onaya gönderildi. Politikadan geçip veritabanında başarısız olan ifade arka uç hatası olarak kaydedilir. "Kullanıcılar ne çalıştırdı ve ne durduruldu" sorusunun kanıtı budur. `Requests` yalnızca onay taleplerini tutar.
Varsayılan olarak ifade arındırılmış saklanır: sabit değerlerin yerine yer tutucular konur, yani `UPDATE customers SET email = $1 WHERE id = $2` görürsünüz. `AuditRawSql` seçeneği, açıldığı andan itibaren sabit değerler dahil ham metni saklar. Sabit değerler kişisel veri ya da sır içerebilir; kararı tek başınıza değil, veri koruma sorumlusuyla verin.
> İpucu: bu kayıtlardan birini teslim etmeden önce iki soru sorun. Ne kadar süre tutuluyor? Ne gruplandı ya da dışarıda bırakıldı? Çalıştırma geçmişi 90 gün tutulur, makine okumaları pencere içinde gruplanır ve ifadeler `AuditRawSql` açık değilse sabit değerleri olmadan saklanır.