PurpleMark ការពារទិន្នន័យរបស់អ្នកដោយរបៀបណា? ការណែនាំជាក់ស្តែងសម្រាប់ក្រុមគណនីច្រើន

សម្រាប់ក្រុមដែលគ្រប់គ្រងគណនីជាច្រើន សុវត្ថិភាពទិន្នន័យមិនមែនពឹងផ្អែកលើការអ៊ីនគ្រីបតែមួយកន្លែងនោះទេ តែសំខាន់ថាតើបរិស្ថានគណនី សិទ្ធិសមាជិក កំណត់ត្រាប្រតិបត្តិការ និងវិធានការខាងក្រៅអាចបង្កើតជារង្វិលជុំបិទបានឬអត់។ អត្ថបទនេះចាប់ផ្តើមពីហានិភ័យជាក់ស្តែង ពន្យល់ពីរបៀបដែល PurpleMark ជួយកាត់បន្ថយការលាយឡំទិន្នន័យ និងហានិភ័យប្រតិបត្តិការផ្ទៃក្នុង តាមរយៈការញែកបរិស្ថាន ក្រុមសិទ្ធិ ការចែករំលែក និងការផ្ទេរ សវនកម្មកំណត់ត្រា និងធុងសំរាម ហើយបញ្ចប់ដោយលំហាត់កំណត់សុវត្ថិភាពទិន្នន័យដែលអាចអនុវត្តបាន និងបញ្ជីត្រួតពិនិត្យ។

សម្រាប់ក្រុមដែលដំណើរការហាងច្រើន គណនីបណ្តាញសង្គមច្រើន ឬគណនីផ្សាយពាណិជ្ជកម្មច្រើនក្នុងពេលដំណាលគ្នា ទ្រព្យសម្បត្តិពិតប្រាកដដែលត្រូវការពារមិនដែរជាលក្ខណៈតែលេខសម្ងាត់នោះទេ។ ខូគី សម័យឡុកអ៊ីន ការកំណត់ប្រូកស៊ី ទិន្នន័យអតិថិជន សម្ភារៈច្នៃប្រឌិត បរិស្ថានកម្មវិធីរុករក និងកំណត់ត្រាប្រតិបត្តិការ ទាំងនេះហើយដែលមានតម្លៃពិតប្រាកដក្នុងការងារប្រចាំថ្ងៃ។ ការរុញទាំងអស់ចូលទៅក្នុងកម្មវិធីរុករកតែមួយ ការផ្ញើលេខសម្ងាត់ដោយគ្មានការប្រុងប្រយ័ត្នចូលទៅក្នុងការជជែកជាក្រុម ឬការភ្លេចលុបហាមឃាត់សិទ្ធិក្រោយពេលនរណាម្នាក់ចាកចេញ សុទ្ធតែបង្កើតការលេចធ្លាយទិន្នន័យ និងការរំខានអាជីវកម្មលឿនជាងការកំណត់ប៉ារ៉ាម៉ែត្រស្នាមម្រាមដៃខុសបន្តិចបន្តួចទៅទៀត។

អ្វីដែល PurpleMark ធ្វើគឺបង្រួបបង្រួមការគ្រប់គ្រងបរិស្ថានគណនី ប្រូកស៊ី សិទ្ធិសមាជិក និងកំណត់ត្រាប្រតិបត្តិការក្នុងកន្លែងធ្វើការតែមួយ៖ គណនីអាជីវកម្មនីមួយៗមានបរិស្ថានច្បាស់លាស់ អាចប្រើឡើងវិញបាន។ សិទ្ធិត្រូវបានបែងចែកតាមតួនាទី មិនមែនតាមបុគ្គលនោះទេ។ ការផ្លាស់បូរសំខាន់ៗរាល់ដងមានតម្រុយដែលអាចតាមដានបាន។ ការសម្អាត ការប្រគល់ និងការស្តារឡើងវិញមានចំណុចចូលដែលអាចគ្រប់គ្រងបាន។ PurpleMark ដោះស្រាយបញ្ហា "រៀបចំធនធានដែលស្រាយប៉ាយ" ប៉ុន្តែមិនត្រូវយល់ថាឧបករណ៍ណាមួយជារបាំងការពារដាច់ខាតតែឯងនោះទេ។ វិធីដែលអាចទុកចិត្តបានគឺផ្សំសមត្ថភាពគ្រប់គ្រងបរិស្ថានរបស់ PurpleMark ជាមួយការផ្ទៀងផ្ទាត់ពហុកត្តាកង់ទ័រ (MFA) គោលការណ៍សិទ្ធិអប្បបរមា ការការពារចំណុចបញ្ចប់ (endpoints) និងការត្រួតពិនិត្យជាទៀងទាត់។

តើហានិភ័យទិន្នន័យក្នុងក្រុមគណនីច្រើនចេញពីកន្លែងណា?

១. គណនីជាច្រើនប្រើកម្មវិធីរុករកតែមួយ

នៅពេលគណនីរបស់ហាង ឬអតិថិជនផ្សេងៗគ្នាប្រើកម្មវិធីរុករកទូទៅតែមួយជាយូរ ខូគី LocalStorage ទិន្នន័យផ្នែកបន្ថែម ប្រវត្តិទាញយក និងការបំពេញស្វ័យប្រវត្តិនឹងលាយឡំចូលគ្នា។ សមាជិកក៏ងាយនឹងបង្ហោះមាតិកា កែសម្រួលការផ្សាយពាណិជ្ជកម្ម ឬចូលទៅកាន់ផ្ទៃខាងក្រោយដែលមិនមែនរបស់ខ្លួនដោយគ្រាន់តែបើកថេបខុស។ ទិន្នន័យមិនដែលត្រូវបានញែកតាំងពីប្រភពទេ។

២. ផ្ញើលេខសម្ងាត់មេចូលក្នុងការជជែកជាក្រុម

នៅពេលក្រុមធំឡើង វិធីងាយស្រួលបំផុតច្រើនតែជាការផ្ញើលេខសម្ងាត់វេទិកា កូដផ្ទៀងផ្ទាត់តាមអ៊ីមែល និងព័ត៌មានប្រូកស៊ីចូលទៅក្នុងការជជែកក្រុមតែម្តង។ បញ្ហាគឺនៅពេលព័ត៌មានចាកចេញពីប្រព័ន្ធដែលអាចគ្រប់គ្រងបាន វាស្ទើរតែមិនអាចដឹងថាអ្នកណាបានរក្សាទុក អ្នកណាបានបញ្ជូនបន្ត ឬអ្នកណានៅមានច្បាប់ចម្លងនៅឡើយ។ ទោះបីជាផ្លាស់ប្តូរសិទ្ធិក្រោយក៏ដោយ លេខសម្ងាត់ចាស់អាចនៅតែដំណើរការ។

៣. សិទ្ធិធំទូលំទូលាយ និងមិនបានពិនិត្យយូរណាស់មកហើយ

អ្នកកាត់ត អ្នកគាំទ្រអតិថិជន អ្នកទិញផ្សាយពាណិជ្ជកម្ម និងអ្នកគ្រប់គ្រងមិនត្រូវការកម្រិតសិទ្ធិដូចគ្នាទេ។ បើសិនជាអ្នកទាំងអស់អាចចូលដល់បរិស្ថាន ប្រូកស៊ី និងមុខងារគ្រប់គ្រងទាំងអស់ កំហុសតែម្តង ឬគណនីត្រូវបានលួចយកក៏អាចប៉ះពាល់ដល់កន្លែងធ្វើការទាំងមូល។ NIST កំណត់គោលការណ៍សិទ្ធិអប្បបរមានៅក្នុង SP 800-171 Rev.3 ថាជា "ការផ្តល់តែធនធានប្រព័ន្ធ និងការអនុញ្ញាតិចាំបាច់សម្រាប់តែកិច្ចការដែលបានប្រគល់ប៉ុណ្ណោះ" ហើយដាក់ការត្រួតពិនិត្យសិទ្ធិ ការកំណត់គណនីសិទ្ធិពិសេស និងកំណត់ត្រាសវនកម្មជាវិធានការសំខាន់។

៤. ពុំមានតម្រុយប្រតិបត្តិការពេលមានបញ្ហា

បន្ទាប់ពីប្រវត្តិគណនីត្រូវបានផ្លាស់បូរ ប្រូកស៊ីត្រូវបានប្តូរ ឬបរិស្ថានត្រូវបានលុប បើគ្មានកំណត់ត្រាទេ ក្រុមត្រូវពឹងផ្អែកលើប្រវត្តិជជែក និងការចងចាំរបស់បុគ្គលម្នាក់ៗ។ វាយឺត និងពិបាកកំណត់ថាមូលហេតុជាកំហុស ការកំណត់សិទ្ធិខុស ឬការឈ្លានពានពីខាងក្រៅ។

៥. ដំណើរការចាកចេញមិនពេញលេញសម្រាប់ឧបករណ៍ និងមនុស្ស

បុគ្គលិកចាស់ដែលនៅតែមានសិទ្ធិ កុំព្យូទ័ររួមដែលគ្មាននរណាចាកចេញពីគណនី ឧបករណ៍ចាស់ដែលនៅសល់ខូគី — ទាំងនេះធ្វើឱ្យទំនាក់ទំនងការងារដែលបានបញ្ចប់ហើយបន្តបង្ហាញទិន្នន័យ។ ការគ្រប់គ្រងសុវត្ថិភាពល្អមិនមែនគ្រាន់តែរារាំងការចូលនោះទេ តែក៏ត្រូវបញ្ចប់សិទ្ធិដែលលែងចាំបាច់ឱ្យទាន់ពេលវេលាផងដែរ។

តើ PurpleMark ផ្តល់ជាក់ស្តែងអ្វីខ្លះសម្រាប់សុវត្ថិភាពទិន្នន័យ

បញ្ជីខាងក្រោមគ្របដណ្តប់លើមុខងារដែលអាចផ្ទៀងផ្ទាត់បានផ្ទាល់ក្នុងកន្លែងធ្វើការ PurpleMark ថ្ងៃនេះប៉ុណ្ណោះ។ អត្ថបទនេះមិនចាត់ទុកក្បួនដោះស្រាយគ្រីបតូ វិញ្ញាបនបត្រ ឬព័ត៌មានលម្អិតហេដ្ឋារចនាសម្ព័ន្ធដែលមិនទាន់បានប្រកាសជាការពិតដែលបានបញ្ជាក់។

១. បរិស្ថានកម្មវិធីរុករកដាច់ដោយឡែកសម្រាប់គណនីអាជីវកម្មនីមួយៗ

PurpleMark អនុញ្ញាតឱ្យបង្កើតបរិស្ថានដាច់ដោយឡែកតាមហាង អតិថិជន វេទិកា ឬតំបន់ ហើយកំណត់រាល់បរិស្ថានដោយឯករាជ្យសម្រាប់៖

ឈ្មោះបរិស្ថាន ក្រុម និងគណនីភ្ជាប់;
ប្រូកស៊ី និង IP ចេញក្រៅ;
ខូគី និងទំព័រចាប់ផ្តើមថេរ;
ប៉ារ៉ាម៉ែត្រស្នាមម្រាមដៃ ដូចជាប្រព័ន្ធប្រតិបត្តិការ User-Agent ភាសា ល្វែងម៉ោង ទីតាំងភូមិសាស្ត្រ និង WebRTC;
ការធ្វើសមកាលកម្មទិន្នន័យ ការកំណត់កម្មវិធីរុករក ក្រុមកម្មវិធី និងជម្រើនបរិស្ថានផ្សេងទៀត។

បរិស្ថានដាច់ដោយឡែកមិនមែនជាការសន្យាថាគណនី "នឹងមិនដែរត្រូវភ្ជាប់" នោះទេ។ វាមានន័យថាគណនីអាជីវកម្មនីមួយៗមានកន្លែងធ្វើការច្បាស់លាស់ អាចប្រើឡើងវិញបាន និងអាចប្រគល់បាន។ នៅពេលសមាជិកពិនិត្យឈ្មោះបរិស្ថាន ក្រុម គណនីភ្ជាប់ និងប្រូកស៊ី មុនពេលបើកគណនី ឧបត្តិហេតុទិន្នន័យជាច្រើនត្រូវបានរារាំងមុនពេលកើតឡើង។

២. ប្រើក្បួនដាក់ឈ្មោះ និងក្រុមស្តង់ដារដើម្បីកាត់បន្ថយលទ្ធភាពបើកបរិស្ថានខុស

នៅពេលចំនួនបរិស្ថានកើនឡើង ការពឹងផ្អែកលើតែលេខ ឬអង្គចងចាំជារូបមន្តនៃកំហុស។ ជំហានដំបូងគឺក្បួនដាក់ឈ្មោះសាមញ្ញមួយ ឧទាហរណ៍៖

ឈ្មោះកាត់របស់អតិថិជន - វេទិកា - តំបន់ - ការប្រើប្រាស់ - អ្នកទទួលខុសត្រូវ

បន្ទាប់មកដាក់បរិស្ថានជាក្រុមតាមអតិថិជន គម្រោង ឬខ្សែអាជីវកម្ម។ បញ្ជីបរិស្ថានបង្ហាញឈ្មោះ ក្រុម គណនីភ្ជាប់ ប្រូកស៊ី IP ចេញក្រៅ ពេលវេលាបើកចុងក្រោយ និងពេលវេលាបង្កើត។ ការស្នើឱ្យអ្នកប្រតិបត្តិការពិនិត្យឆ្វិចឆ្វាយមុនពេលបើកបរិស្ថាន គឺជាទម្លាប់សុវត្ថិភាពទិន្នន័យដែលថោក និងមានប្រសិទ្ធភាពបំផុត។

៣. អនុវត្តសិទ្ធិអប្បបរមាតាមរយៈសមាជិក តួនាទី និងក្រុមអនុញ្ញាត

ការគ្រប់គ្រងសមាជិករបស់ PurpleMark រួមបញ្ចូលបញ្ជីសមាជិក ក្រុមសមាជិក តួនាទី ក្រុមអនុញ្ញាត ស្ថានភាព និងកំណត់ចំណាំ។ អ្នកគ្រប់គ្រងអាចចាត់បរិស្ថានតាមតួនាទី ជំនួសឱ្យការផ្តល់សិទ្ធិចូលដល់អាជីវកម្មទាំងអស់ដល់សមាជិកទាំងអស់តាមលំនាំដើម។

ការបែងចែកសិទ្ធិយោបល់មួយមើលទៅដូចខាងក្រោម៖

តួនាទី	វិសាលភាពចូលប្រើដែលស្នើ	មិនគួរបើកតាមលំនាំដើម
អ្នកប្រតិបត្តិមាតិកា	បរិស្ថានបណ្តាញសង្គមដែលបានចាត់ និងឧបករណ៍ច្នៃប្រឌិត	ការគ្រប់គ្រងប្រូកស៊ី ការគ្រប់គ្រងសមាជិក
អ្នកគាំទ្រអតិថិជន	បរិស្ថានហាង ឬបរិស្ថានគាំទ្រដែលបានចាត់	បរិស្ថានរបស់អតិថិជនផ្សេង ការកំណត់សកល
អ្នកទិញផ្សាយពាណិជ្ជកម្ម	បរិស្ថានគណនីផ្សាយដែលបានចាត់	ផ្ទៃខាងក្រោយហាងដែលមិនពាក់ព័ន្ធនឹងយុទ្ធនាការ
ប្រធានក្រុម	ក្រុមអាជីវកម្មរបស់ខ្លួន និងសមត្ថភាពប្រគល់	សិទ្ធិសឺភីអេដមីនទូទាំងក្រុមហ៊ុន
សឺភីអេដមីន	ការកំណត់រចនាសម្ព័ន្ធកន្លែងធ្វើការ និងការឆ្លើនាការបន្ទាន់	សកម្មភាពសិទ្ធិខ្ពស់ដែលមិនចាំបាច់ក្នុងការងារប្រចាំថ្ងៃ

សិទ្ធិមិនមែនកំណត់ម្តងរួចចប់នោះទេ។ ត្រូវពិនិត្យយ៉ាងហោចណាស់នៅពេលចូលធ្វើការ ប្តូរតួនាទី បញ្ចប់គម្រោង និងនៅពេលចាកចេញ។ គណនីសិទ្ធិខ្ពស់ក៏គួរត្រូវបានពិនិត្យតាមវដ្តថេរ។

៤. ប្រើការចែករំលែក និងការផ្ទេរជំនួសការបញ្ជូនព័ត៌មានឡុកអ៊ីនដោយគ្មានសណ្តាប់ធ្មប់

PurpleMark ផ្តល់នូវចំណុចចូលសម្រាប់ "បរិស្ថានដែលចែករំលែកជាមួយខ្ញុំ" "ការចែករំលែករបស់ខ្ញុំ" និងការចែករំលែក និងផ្ទេរបរិស្ថាន។ ក្រុមអាចសហការ និងប្រគល់ការងារជុំវិញបរិស្ថាន ជំនួសឱ្យការបំបែកលេខសម្ងាត់គណនី ខូគី និងការកំណត់ប្រូកស៊ីរួចផ្ញើតាមឧបករណ៍ជជែក។

ការចែករំលែកសមរម្យសម្រាប់កិច្ចសហប្រតិបត្តិការបណ្តោះអាសន្ន; ការផ្ទេរសមរម្យសម្រាប់ការផ្លាស់បូរអ្នកទទួលខុសត្រូវជាអចិន្ត្រៃយ៍។ មុនពេលអនុវត្ត សូមបញ្ជាក់អ្នកទទួល វិសាលភាពអនុញ្ញាត និងពេលកំណត់។ បន្ទាប់ពីអនុវត្ត ត្រូវពិនិត្យមើលថាតើសមាជិកដើមនៅតែមានសិទ្ធិដែលមិនចាំបាច់ដែរឬទេ។ ឧបករណ៍ផ្តល់ផ្លូវដែលអាចគ្រប់គ្រងបាន; ប៉ុន្តែឥទ្ធិពលសុវត្ថិភាពពិតប្រាកដពឹងផ្អែកលើថាតើក្រុមមានដំណើរការអនុម័ត និងត្រួតពិនិត្យឬអត់។

៥. តាមដានការផ្លាស់បូរសំខាន់ៗតាមរយៈកំណត់ត្រាប្រតិបត្តិការ

កំណត់ត្រាប្រតិបត្តិការរបស់ PurpleMark គ្របដណ្តប់លើការឡុកអ៊ីន ការគ្រប់គ្រងបរិស្ថាន ការគ្រប់គ្រងប្រូកស៊ី និងការគ្រប់គ្រងសមាជិក ហើយអាចសួរតាមពេលវេលា អ្នកប្រតិបត្តិ និងស្ថានភាព។ កំណត់ត្រាសមរម្យសម្រាប់៖

កំណត់ថាតើបរិស្ថាន ប្រូកស៊ី ឬសិទ្ធិសមាជិកផ្លាស់បូរនៅពេលណា;
បញ្ជាក់ថាការប្រគល់ ការលុប ឬសកម្មភាពកំណត់រចនាសម្ព័ន្ធបានបញ្ចប់ពិតប្រាកដ;
រកឃើញបរាជោគជាបន្តបន្ទាប់ ប្រតិបត្តិការនៅពេលវេលាមិនធម្មតា ឬការផ្លាស់បូរដែលមិនសមរម្យនឹងលំហាត់ធម្មតា;
ផ្តល់ខ្សែសង្វាក់ប្រតិបត្តិការពេញលេចជាងមុនសម្រាប់ការត្រួតពិនិត្យផ្ទៃក្នុង។

OWASP Logging Cheat Sheet បានចង្អុលបង្ហាញថា ភាពជោគជ័យ និងបរាជោគនៃការផ្ទៀងផ្ទាត់ភាពសុពលភាព បរាជោគនៃការអនុញ្ញាត ភាពមិនប្រក្រតីនៃការគ្រប់គ្រងសម័យ និងការប្រើប្រាស់មុខងារហានិភ័យខ្ពស់ សុទ្ធតែជាព្រឹត្តិការណ៍ដែលសមនឹងកត់ត្រា។ កំណត់ត្រាមិនមែនជាសំឡេងរោទ៍ស្វ័យប្រវត្តិនោះទេ; ក្រុមនៅតែត្រូវសម្រេចថាអ្នកណាទទួលបន្ទុកពិនិត្យ ពេលណាត្រូវបង្កើនកម្រិត និងរក្សាកំណត់ត្រាយូរប៉ុណ្ណា។

៦. ប្រើការសម្អាតឃ្លាំងសម្ងាត់ និងធុងសំរាមសម្រាប់ចុងបញ្ចប់នៃវដ្តជីវិត

នៅពេលបរិស្ថានលែងត្រូវការ អ្នកអាចសម្អាតឃ្លាំងសម្ងាត់តាមតម្រូវការអាជីវកម្ម។ បរិស្ថានកម្មវិធីរុករក និងប្រូកស៊ីដែលបានលុបនឹងចូលទៅក្នុងធុងសំរាម ហើយត្រូវបានលុបដោយស្វ័យប្រវត្តិបន្ទាប់ពីច្រើនបំផុត 30 ថ្ងៃ។ ធុងសំរាមជួយក្នុងការលុបដោយចៃដន្យរយៈពេលខ្លី ប៉ុន្តែមិនត្រូវយកទៅប្រើជាការបម្រុករណៅអចិន្ត្រៃយ៍នោះទេ។

មុនពេលសម្អាត ត្រូវបញ្ជាក់ថាតើស្ថានភាពឡុកអ៊ីន ភស្តុតាងអាជីវកម្ម ឬកំណត់ត្រាអនុលោមភាពនៅត្រូវរក្សាទុកដែរឬទេ។ បន្ទាប់ពីសម្អាត ត្រូវផ្ទៀងផ្ទាត់ថាគណនីគោលដៅបានចាកចេញពីវេទិកាពាក់ព័ន្ធហើយឬនៅ និងថាតើមានច្បាប់ចម្លងដែលបានទាញយកទៅឧបករណ៍ក្នុងស្រុករបស់សមាជិកដែរឬទេ។ ការលុបមាតិកាក្នុងកន្លែងធ្វើការលើពពកមិនលុបឯកសារដូចគ្នានៅលើចំណុចបញ្ចប់នីមួយៗដោយស្វ័យប្រវត្តិទេ។

៧. ប្រើការកំណត់សកលដើម្បីកាត់បន្ថយការផ្គត់ផ្គង់បន្ថែមរបស់សមាជិក

ការកំណត់សកលរបស់ PurpleMark គ្របដណ្តប់លើតម្លៃលំនាំដើមនៃកន្លែងធ្វើការ ច្បាប់សរសេរជាន់លើលក្ខណៈពិសេស ប្រវត្តិកំណត់រចនាសម្ព័ន្ធ និងការត្រឡប់ក្រោយ។ ក្រុមអាចបំប្លែងការកំណត់ទូទៅទៅជាបន្ទាត់មូលដ្ឋានរួមមួយ ដើម្បីសមាជិកឈប់សាងសង់បរិស្ថានខុសៗគ្នាតាមកាលៈទាន់ហេតុការណ៍។ នៅពេលគោលនយោបាយផ្លាស់បូរ អាប់ដេតនៅកន្លែងតែមួយ និងពិនិត្យប្រវត្តិ។

សូមចំណាំថាការកំណត់រួមមិនមានន័យថាគណនីទាំងអស់ប្រើប៉ារ៉ាម៉ែត្រដូចគ្នាទាំងស្រុងនោះទេ។ បណ្តាញ ភាសា ល្វែងម៉ោង និងតំបន់អាជីវកម្មនៅតែត្រូវតែស៊ីសង្វាក់នឹងបរិបទប្រតិបត្តិការពិត និងច្បាប់របស់វេទិកា។ កុំបង្កើតភាពផ្ទុយគ្នាច្បាស់លាស់ដើម្បីតែប្រកាន់ខ្ជាប់នូវ "ភាពឯកសណ្ឋាន"។

PurpleMark មិនគ្រប់គ្រាន់តែឯងទេ៖ វិធានការខាងក្រៅដែលត្រូវបន្ថែម

បើកការផ្ទៀងផ្ទាត់ពហុកត្តាកង់ទ័រសម្រាប់គណនីសំខាន់ៗ

សូម្បីតែបន្ទាប់ពីលេខសម្ងាត់ត្រូវបានលេចធ្លាយ ការផ្ទៀងផ្ទាត់ពហុកត្តាកង់ទ័រនៅតែផ្តល់ស្រទាប់ផ្ទៀងផ្ទាត់បន្ថែម។ ការណែនាំ MFA របស់ NIST និង ការណែនាំរបស់ CISA ស្តីពីការទាមទារ MFA ទាំងពីរសង្កត់ធ្ងន់ថាការពឹងផ្អែកតែលើលេខសម្ងាត់មិនគ្រប់គ្រាន់ក្នុងការការពារប្រព័ន្ធសំខាន់ៗនោះទេ។

បើក MFA ជាមុនសម្រាប់ប្រអប់សំបុតសិលារបស់អ្នកគ្រប់គ្រង វេទិកាពាណិជ្ជកម្មអេឡិចត្រូនិក គណនីផ្សាយពាណិជ្ជកម្ម គណនីបណ្តាញសង្គម កម្មវិធីគ្រប់គ្រងលេខសម្ងាត់ និងការផ្ទុកលើពពក។ កូដសង្គ្រោះគួរតែដាក់នៅទីតាំងដែលអាចគ្រប់គ្រងបាន; កុំរក្សាទុកក្នុងកំណត់ត្រាជជែក ឬសៀវភៅបញ្ជរដូចគ្នានឹងលេខសម្ងាត់។

កុំចាត់ទុកខូគីជាអត្ថបទកំណត់រចនាសម្ព័ន្ធធម្មតា

ខូគីអាចមានសម័យឡុកអ៊ីនសកម្ម។ អ្នកដែលមានសម័យត្រឹមត្រូវអាចចូលគណនីដោយមិនបញ្ចូលលេខសម្ងាត់ម្តងទៀតក៏បាន។ ដូច្នេះការនាំចូល ការនាំចេញ និងការផ្ទេរខូគីត្រូវតែគ្រប់គ្រងក្នុងកម្រិតដូចគ្នានឹងលេខសម្ងាត់៖ ប្រើតែក្នុងបរិស្ថានដែលបានអនុញ្ញាត មិនដាក់ក្នុងឯកសារសាធារណៈ មិនផ្ញើតាមឆានែលដែលមិនអាចគ្រប់គ្រងបាន។

OWASP Session Management Cheat Sheet ស្នើឱ្យយកចិត្តទុកដាក់លើការបង្កើត ការប្រើប្រាស់ ការបញ្ចប់ ភាពមិនប្រក្រតី និងការឡុកអ៊ីនក្នុងពេលដំណាលគ្នានៃសម័យ។ នៅពេលប្រគល់គណនី ឧបករណ៍បាត់ ឬសង្ស័យថាមានការលេចធ្លាយ ត្រូវចាកចេញពីសម័យផ្សេងទៀតនៅលើវេទិកាគោលដៅ លុបចេញនូវសញ្ញាសម្ងាត់ (token) និងផ្លាស់ប្តូរព័ត៌មានសម្គាល់ពាក់ព័ន្ធ ជំនួសឱ្យការលុបកំណត់ត្រាកម្មវិធីរុករកក្នុងស្រុកតែប៉ុណ្ណោះ។

ការពារចំណុចបញ្ចប់ដែលរត់ PurpleMark

បរិស្ថានកម្មវិធីរុករករត់នៅលើឧបករណ៍របស់សមាជិក។ នៅពេលចំណុចបញ្ចប់ត្រូវបានគ្រប់គ្រងដោយមេរោគ ភាពឯករាជ្យនៃសិទ្ធិក្នុងឧបករណ៍ក៏បាត់បង់ន័យ។ ក្រុមគួរតែ៖

រក្សាប្រព័ន្ធប្រតិបត្តិការ និងសូហ្វវែរសុវត្ថិភាពឱ្យទាន់សម័យ;
កុំដំឡើងផ្នែកបន្ថែម ស្គ្រីប ឬឧបករណ៍បញ្ជាពីចម្ងាយដែលមិនស្គាល់ប្រភព;
បើកការអ៊ីនគ្រីបឌីស និងការចាក់សោអេក្រង់ស្វ័យប្រវត្តិលើឧបករណ៍;
ប្រើគណនីស្តង់ដារក្នុងការងារប្រចាំថ្ងៃ ហើយប្រើសិទ្ធិអ្នកគ្រប់គ្រងតែពេលចាំបាច់;
បង្កើតច្បាប់សម្អាតសម្រាប់ថតឯកសារទាញយក រូបថតអេក្រង់ ឯកសារនាំចេញ និងមាតិកាក្ដារតម្បាត់។

ផ្តល់សោផ្ទាល់ខ្លួន និងវិសាលភាពតូចបំផុតដែលអាចធ្វើទៅបានសម្រាប់ស្វ័យប្រវត្តិកម្ម

Local API របស់ PurpleMark អាចត្រូវបានបើកជាមួយនឹងការផ្ទៀងផ្ទាត់ API Key។ ពេលធ្វើសមាហរណកម្មស្គ្រីបក្រុម ឬឧបករណ៍ AI សោត្រូវរក្សាទុកនៅកន្លែងដែលអាចគ្រប់គ្រងបាន មិនមែននៅក្នុងឃ្លាំងសាធារណៈ ឯកសាររួម ឬរូបថតអេក្រង់ទេ។ កិច្ចការសាកល្បង និងផលិតកម្មគួរតែបំបែកដាច់ពីគ្នា; ស្វ័យប្រវត្តិកម្មគួរតែប៉ះពាល់តែបរិស្ថានដែលបានអនុញ្ញាត និងត្រូវរក្សាកំណត់ត្រានៃធាតុបញ្ចូល លទ្ធផលប្រតិបត្តិការ និងករណីលើកលែង។

លំហាត់កំណត់សុវត្ថិភាពទិន្នន័យដែលអាចអនុវត្តបាន

ជំហានទី ១៖ ធ្វើសន្និធិទ្រព្យសម្បត្តិ និងអ្នកទទួលខុសត្រូវ

រៀបចំបញ្ជីគណនីអាជីវកម្មទាំងអស់ ប្រអប់សំបុតសិលាដែលភ្ជាប់ ប្រូកស៊ី បរិស្ថាន អ្នកទទួលខុសត្រូវចម្បង និងអ្នកទទួលខុសត្រូវបម្រុង។ សម្រាប់បរិស្ថានដែលមិនអាចបញ្ជាក់ម្ចាស់បាន សូមផ្អាកការចែករំលែកជាមុនសិន ហើយកុំពង្រីកវិសាលភាពចូលប្រើបន្ថែមទៀត។

ជំហានទី ២៖ បង្កើតក្បួនខ្នាតបរិស្ថាន និងក្រុម

បើកកន្លែងធ្វើការ PurpleMark បង្កើតបរិស្ថានដាច់ដោយឡែកសម្រាប់គណនីផ្សេងៗ ហើយដាក់ជាក្រុមតាមអតិថិជន ឬខ្សែអាជីវកម្ម។ បំពេញឈ្មោះច្បាស់លាស់ គណនីភ្ជាប់ និងព័ត៌មានប្រូកស៊ី ហើយពិនិត្យថាតើភាសា ល្វែងម៉ោង ទីតាំងភូមិសាស្ត្រ WebRTC និងការកំណត់ផ្សេងៗទៀតដូចគ្នានឹងអាជីវកម្មពិតប្រាកដ។

ជំហានទី ៣៖ អនុញ្ញាតតាមតួនាទី

បង្កើតតួនាទី និងក្រុមអនុញ្ញាតក្នុងការគ្រប់គ្រងសមាជិក។ សមាជិកនីមួយៗទទួលបានតែបរិស្ថានដែលចាំបាច់សម្រាប់ភារកិច្ចបច្ចុប្បន្នរបស់ពួកគេ; សិទ្ធិអេដមីនត្រូវបានរក្សាទុកសម្រាប់ក្រុមតូចមួយដែលដោះស្រាយការកំណត់រចនាសម្ព័ន្ធ និងភារកិច្ចបន្ទាន់។

ជំហានទី ៤៖ ធ្វើឱ្យការចែករំលែក ការផ្ទេរ និងការចាកចេញមានស្តង់ដារ

ប្រើការចែករំលែកសម្រាប់កិច្ចសហប្រតិបត្តិការបណ្តោះអាសន្ន និងការផ្ទេរសម្រាប់ការផ្លាស់បូរអ្នកទទួលខុសត្រូវជាអចិន្ត្រៃយ៍។ បញ្ជីត្រួតពិនិត្យការប្រគល់គួររាប់បញ្ចូលយ៉ាងហោចណាស់៖ កម្មសិទ្ធិបរិស្ថាន សម័យលើវេទិកា ប្រអប់សំបុតសិលាសង្គ្រោះ MFA ប្រូកស៊ី ភារកិច្ចស្វ័យប្រវត្តិកម្ម និងរបកគំហើញដែលនៅសេសសល់។ នៅថ្ងៃដែលបុគ្គលម្នាក់ចាកចេញ ត្រូវបញ្ចប់ការលុបហាមឃាត់សិទ្ធិ និងការចាកចេញពីសម័យលើវេទិកា។

ជំហានទី ៥៖ កំណត់ការត្រួតពិនិត្យកំណត់ត្រាជាទម្លាប់ថេរ

រៀងរាល់សប្តាហ៍ ត្រួតពិនិត្យការឡុកអ៊ីន និងសកម្មភាពហានិភ័យខ្ពស់។ រៀងរាល់ខែ ពិនិត្យសមាជិក តួនាទី ក្រុមអនុញ្ញាត និងបរិស្ថានដែលលែងប្រើ។ ពេលឃើញភាពមិនប្រក្រតី សូមរក្សាទុកភស្តុតាងចាំបាច់ជាមុនសិន រួចទើបលុបហាមឃាត់សម័យ លៃតម្រូវសិទ្ធិ និងផ្លាស់ប្តូរព័ត៌មានសម្គាល់។

ជំហានទី ៦៖ ហាត់ការស្តារ មិនមែនគ្រាន់តែហាត់ការលុប

សាកល្បងថាតើបរិស្ថានដែលបានលុបដោយចៃដន្យអាចត្រូវបានស្តារពីធុងសំរាមក្នុងរយៈពេល 30 ថ្ងៃដែរឬទេ។ ក្នុងពេលដំណាលគ្នា ត្រូវបង្កើតផែនការបម្រុករណៅដាច់ដោយឡែក និងអនុលោមតាមច្បាប់សម្រាប់អាជីវកម្មស្នូល។ កុំរង់ចាំឧបត្តិហេតុពិតប្រាកដទើបមកផ្ទៀងផ្ទាត់ដំណើរការស្តារជាលើកដំបូង។

បញ្ជីត្រួតពិនិត្យសុវត្ថិភាពទិន្នន័យ

សំណួរដែលសួរញឹកញាប់

តើ PurpleMark អាចធានាបានទេថាគណនីនឹងមិនត្រូវលួច ឬផ្អាកឡើយ?

មិនអាច។ PurpleMark ជួយក្រុមបំបែកការគ្រប់គ្រងបរិស្ថានកម្មវិធីរុករក សិទ្ធិ និងកំណត់ត្រាប្រតិបត្តិការ ប៉ុន្តែសុវត្ថិភាពគណនីក៏ពឹងផ្អែកលើច្បាប់វេទិកា លេខសម្ងាត់ និង MFA សុវត្ថិភាពចំណុចបញ្ចប់ ឥរិយាបថរបស់សមាជិក និងសេវាកម្មភាគីទីបីផងដែរ។ ការអះអាងណាមួយថា "100% សុវត្ថិភាព" ឬ "ធានាមិនផ្អាក" មិនអាចទុកចិត្តបានទេ។

តើបរិស្ថានដាច់ដោយឡែកមានន័យថាញែកដាច់ស្រឡះមែនឬ?

បរិស្ថានដាច់ដោយឡែកកាត់បន្ថយការលាយឡំនៃខូគី ការកំណត់ និងលំហាត់ប្រតិបត្តិការ ប៉ុន្តែមិនជំនួសសុវត្ថិភាពប្រព័ន្ធប្រតិបត្តិការ សុវត្ថិភាពបណ្តាញ និងការគ្រប់គ្រងសិទ្ធិលើវេទិកាទេ។ ឧបករណ៍របស់សមាជិកដែលឆ្លងមេរោគ ឬសមាជិកដែលចេតនានាំចេញទិន្នន័យរសើប នៅតែអាចបង្កការលេចធ្លាយ។

តើទិន្នន័យត្រូវបានរក្សាទុកជាអចិន្ត្រៃយ៍ក្រោយពេលលុបបរិស្ថានឬទេ?

បរិស្ថានកម្មវិធីរុករក និងប្រូកស៊ីនៅក្នុងធុងសំរាម PurpleMark ត្រូវបានរក្សាទុកច្រើនបំផុត 30 ថ្ងៃ រួចលុបដោយស្វ័យប្រវត្តិ។ ដូច្នេះធុងសំរាមមិនមែនជាការបម្រុករណៅអចិន្ត្រៃយ៍ទេ។ ត្រូវផ្ទៀងផ្ទាត់តម្រូវការអាជីវកម្ម និងការអនុលោមភាពមុនពេលលុប និងមុនពេលស្តារ។

តើក្រុមគួរតែពិនិត្យសិទ្ធិញឹកញាប់ប៉ុណ្ណា?

យ៉ាងហោចណាស់ ត្រូវពិនិត្យភ្លាមៗនៅពេលចូលធ្វើការ ប្តូរតួនាទី បញ្ចប់គម្រោង និងចាកចេញ។ ក្នុងប្រតិបត្តិការប្រចាំថ្ងៃ សិទ្ធិទូទៅអាចពិនិត្យប្រចាំខែ ហើយគណនីអ្នកគ្រប់គ្រង ឬគណនីមានតម្លៃខ្ពស់គួរពិនិត្យតាមវដ្តខ្លីជាង។ ភាពញឹកញាប់ជាក់លាក់អាស្រ័យលើទំហំក្រុម ភាពរសើបរបស់ទិន្នន័យ និងកម្រិតហានិភ័យ។

សេចក្តីសន្និដ្ឋាន

តម្លៃជាក់ស្តែងបំផុតដែល PurpleMark នាំមកសម្រាប់សុវត្ថិភាពទិន្នន័យ មិនមែនជាការសន្យា "សុវត្ថិភាពដាច់ខាត" ដែលមិនអាចផ្ទៀងផ្ទាត់បាននោះទេ ប៉ុន្តែជាការធ្វើឱ្យបរិស្ថានគណនី ប្រូកស៊ី សិទ្ធិសមាជិក ការចែករំលែក និងការផ្ទេរ ព្រមទាំងកំណត់ត្រាប្រតិបត្តិការ ក្លាយជាអ្វីដែលអាចរៀបចំ អាចពិនិត្យ និងអាចប្រគល់បាន។ ផ្សំសមត្ថភាពទាំងនេះជាមួយ MFA សិទ្ធិអប្បបរមា ការការពារចំណុចបញ្ចប់ និងការលុបហាមឃាត់សម័យ ក្រុមនឹងអាចកសាងការការពារជាស៊ីជម្រៅពិតប្រាកដ។

បើកកំណែវែប PurpleMark — ចាប់ផ្តើមដោយការបង្កើតបរិស្ថាន និងក្រុមដាច់ដោយឡែកសម្រាប់គណនីអាជីវកម្មនីមួយៗ បន្ទាប់មករៀបចំដោយបណ្តើរៗនូវការអនុញ្ញាតសមាជិក និងដំណើរការពិនិត្យកំណត់ត្រា។ នៅពេលកំណត់ចប់ សូមប្រើបញ្ជីត្រួតពិនិត្យខាងលើដើម្បីធ្វើការត្រួតពិនិត្យសុវត្ថិភាពក្រុមម្តង។