Doğrudan cevap
Her yüksek etkili ajan eylemi için başlatan, onaylayan ve icracı ayrı kimliklerle kaydedilmelidir. Kayıt; eylem kimliği, hedef, onaylanan içerik veya hash, kapsam, zaman, kullanılan ajan ve araç kimlikleri, yürütme sonucu, hedef sistem kanıtı ve önceki-sonraki durumla birbirine bağlanmalıdır.
Sade dille
Bir banka havalesinde talimatı veren, işlemi onaylayan ve parayı aktaran sistem aynı kişi olmayabilir. 'İşlem yapıldı' yazan tek satır, kimin istediğini ve neyin onaylandığını göstermez.
Neden önemli?
Roller ayrılmazsa sonradan verilmiş onay, tekrar kullanılan izin, sahte insan atfı veya başka içerik için kullanılan eski onay fark edilmeyebilir.
Karıştırma
- Başlatma: Eylemi veya öneriyi doğuran olay.
- Onay: Belirli içerik, hedef ve kapsam için verilen izin.
- İcra: Eylemin teknik olarak gerçekleştirilmesi.
- Hedef etkisi: Dış sistemde gerçekten oluşan sonuç.
Ne yapmalısın?
- Her eyleme benzersiz action_id verin.
- Başlatan ve başlatma kanıtını kaydedin.
- Onayın kimliğini, yetkisini, hedefini, içeriğini, süresini ve tek kullanımlık durumunu saklayın.
- İcracı ajan, runtime, araç ve teknik principal kimliklerini bağlayın.
- Onaydan sonra içerik, hedef veya tutar değişirse yeniden onay isteyin.
- Hedef sistemden sonuç ve önceki-sonraki durum kanıtı alın.
- Retry, kısmi icra, geri alma ve başarısızlıkları aynı zincirde tutun.
Nasıl denetlersin?
- Başlatan, onaylayan ve icracı kimlikleri doğrulanabiliyor mu?
- Onay tam olarak yürütülen sürüme mi ait?
- Onay veren kişi veya politika bu eylem için yetkili mi?
- Aynı onay tekrar veya başka hedef için kullanılmış mı?
- Kaynak log ile hedef sistem sonucu eşleşiyor mu?
- Zaman çizelgesi ve aktör zinciri eksiksiz mi?
- Kayıt sonradan değiştirilmiş olabilir mi?
Sınır
Trace ID, ekran görüntüsü veya tek bir log satırı tek başına tam kanıt değildir. Gizlilik ve veri minimizasyonu korunurken denetim için yeterli bağlam tutulmalıdır.
Tek cümlede hatırla
İyi bir ajan kaydı yalnız ne olduğunu değil, kimin istediğini, kimin onayladığını ve kimin yaptığını gösterir.
Bu kaydın kaynakları
- S23BTK, *Elektronik İmza — Genel Bilgi*Resmî kurum
- S24NIST SP 800-63-4, *Digital Identity Guidelines*Standart
- S26NIST SP 800-53 Rev. 5, *Security and Privacy Controls*Standart
- S34IETF, RFC 8693, *OAuth 2.0 Token Exchange*Standart
- S35W3C, *PROV-O: The PROV Ontology*Standart
- S36W3C, *Trace Context*Standart
- S37OpenTelemetry, *General Trace Semantic Conventions*Standart/proje belgesi