Jak VaultPAM zabezpiecza nagrania sesji

Nagranie, któremu nie można zaufać, nie jest dowodem. Może przedstawiać aktywność, lecz nie odpowiada na trudniejsze pytania: czy jest to nagranie z tej sesji, czy zostało zmienione, kto je oglądał i czy obchodzono się z nim zgodnie z zasadami? Dlatego ochrona nagrania to coś więcej niż umieszczenie pliku w magazynie. To łańcuch inżynieryjny, który zaczyna się od kontrolowanego przechwytywania i obejmuje szyfrowanie, weryfikację integralności, decyzje dotyczące dostępu, retencję oraz historię audytu. W tym artykule wyjaśniamy, jak VaultPAM tworzy ten łańcuch, aby nagranie mogło być rozliczalnym dowodem, a nie niezweryfikowanym artefaktem.

Z perspektywy audytu i dochodzenia — pytań, które osoba oceniająca zadaje o gotowy zapis — przeczytaj Nagrywanie sesji jako dowód audytowy. Ten artykuł uzupełnia tamtą perspektywę: pokazuje, jak postępuje się z nagraniem, aby można było zaufać dowodom.

Zacznij od kontrolowanej ścieżki dostępu

Zaufania nie można dodać dopiero po zakończeniu sesji. VaultPAM przechwytuje nagrania za pośrednictwem kontrolowanej, opartej na przeglądarce i bezagentowej ścieżki dostępu, pośrednicząc w sesjach RDP, SSH, VNC i HTTP. Ta ścieżka wyznacza miejsce, w którym nagranie jest przechwytywane jako część sesji uprzywilejowanej.

Ma to znaczenie, ponieważ dowód musi pozostać powiązany z aktywnością dostępową, którą przedstawia. Nagranie nie jest po prostu wygodnym plikiem do zachowania; jest chronionym zapisem sesji, która przeszła przez kontrolowaną ścieżkę. Wszystko, co następuje później, służy temu samemu pytaniu: czy osoba oceniająca może polegać na tym konkretnym artefakcie w tym konkretnym kontekście?

Szyfruj każdy artefakt i powiąż go z jego kontekstem

W spoczynku każdy artefakt nagrania jest szyfrowany algorytmem AES-256-GCM przy użyciu własnego klucza danych dla danego artefaktu. Jest to szyfrowanie kopertowe: klucz danych chroni artefakt, a dedykowana usługa zarządzania kluczami opakowuje klucz danych. Materiał kryptograficzny nigdy nie znajduje się obok chronionych przez niego danych.

To rozdzielenie jest celowe. Nagranie zawiera aktywność uprzywilejowaną, więc ochrona jego treści nie powinna zależeć od traktowania nagrania i klucza jako jednego pakietu. Szyfrowanie kopertowe oddziela zaszyfrowany artefakt od materiału kryptograficznego, a zarazem umożliwia, aby każdy artefakt miał własny klucz danych. Mówiąc prosto, artefakt jest chroniony kluczem utworzonym dla tego artefaktu, a ten klucz jest chroniony oddzielnie.

Samo szyfrowanie nie wystarcza, jeśli szyfrogram można przenosić między kontekstami i akceptować tak, jakby do nich należał. VaultPAM uwierzytelnia również metadane kontekstowe jako dodatkowe uwierzytelnione dane: organizację, nagranie, artefakt i fragment. To wiązanie kontekstu. Jeśli szyfrogram zostanie przeniesiony lub ponownie oznaczony dla innego kontekstu, odszyfrowanie się nie powiedzie.

To rozwiązanie chroni znaczenie otaczające bajty, a także same bajty. Osoba oceniająca nie musi zakładać, że zaszyfrowany fragment nadal należy do nagrania, artefaktu, organizacji i kontekstu fragmentu wskazanych obok niego. Szyfrowanie sprawdza tę relację podczas odszyfrowywania.

Usuwaj tekst jawny dopiero po potwierdzeniu chronionej kopii

Bezpieczne przetwarzanie ma istotny szczegół ścieżki zapisu: lokalnie przechwycony tekst jawny nie jest usuwany tylko dlatego, że rozpoczęto przesyłanie. Jest usuwany dopiero po utrwaleniu zaszyfrowanej kopii oraz pomyślnym zakończeniu weryfikacji odszyfrowania i ponownego odczytu bajt po bajcie.

Kolejność jest zamierzona. Zapobiega uznaniu żądania przesłania za dowód, że chroniony artefakt jest dostępny i możliwy do odczytania. Warunek utrwalenia potwierdza zapisanie zaszyfrowanej kopii; sprawdzenie odszyfrowania i ponownego odczytu potwierdza, że zaszyfrowany artefakt można zweryfikować bajt po bajcie. Lokalnie przechwycony tekst jawny jest usuwany dopiero po spełnieniu obu warunków.

Ta niewielka reguła sekwencjonowania ma istotne konsekwencje dowodowe. Chroniony zapis musi zostać utworzony i sprawdzony, zanim lokalny tekst jawny zostanie usunięty. W przeciwnym razie awaria między przechwyceniem a zweryfikowanym, zaszyfrowanym utrwaleniem może pozbawić organizację możliwości polegania na zamierzonym artefakcie nagrania.

Gdy metadane nagrania i dowody są przekazywane między usługami wewnętrznymi, te wywołania są wzajemnie uwierzytelniane za pomocą mTLS. Wzajemne uwierzytelnianie zapewnia, że wewnętrzne strony przekazujące kontekst nagrania uwierzytelniają się nawzajem.

Zapewnij wykrywalność zmian, a następnie powtarzalność weryfikacji

Poufność i integralność odpowiadają na różne pytania. Szyfrowanie chroni zawartość nagrania w spoczynku. Integralność dotyczy tego, czy zawartość nagrania nadal pozostaje spójna z zarejestrowaną sesją.

VaultPAM chroni zawartość nagrania łańcuchem skrótów SHA-256 obejmującym fragmenty nagrania. Przechowuje trwałe manifesty integralności, a narzędzie do weryfikacji działające bez połączenia z siecią może ponownie sprawdzić dowolne nagranie. Łącznie elementy te zapewniają osobie weryfikującej powtarzalny sposób testowania integralności nagrania, zamiast polegania na stwierdzeniu, że nagranie nie zostało zmienione.

Łańcuch skrótów czyni poszczególne fragmenty nagrania częścią uporządkowanego sprawdzenia integralności. Trwały manifest zachowuje informacje potrzebne do weryfikacji, a narzędzie działające bez połączenia z siecią umożliwia ponowne wykonanie tego sprawdzenia, gdy potrzebny jest dowód. Jest to przydatne podczas rutynowego przeglądu, dochodzenia lub audytu: na pytanie o integralność można odpowiedzieć przez weryfikację, a nie wyłącznie przez zaufanie.

Natywne nagrywanie RDP ma dodatkowy warunek. Wymagany jest plik pomocniczy integralności klatek, a przyjmowanie nagrania kończy się niepowodzeniem, jeśli jego weryfikacja nie jest poprawna. Dzięki temu integralność klatek jest wymaganym elementem przyjęcia natywnego nagrania RDP, a nie opcjonalnym sprawdzeniem wykonywanym później.

Kontroluj, kto może zobaczyć dowody — i rejestruj ten dostęp

Chronione nagranie nadal może stwarzać ryzyko, jeśli zbyt wiele osób może je oglądać lub eksportować. VaultPAM rozdziela uprawnienia do wyświetlania lub odtwarzania nagrania od uprawnień do jego eksportowania lub pobierania. Są to odrębne działania z odrębnymi decyzjami autoryzacyjnymi.

Wszystkie operacje na nagraniach są ograniczone do środowiska danego klienta. Dotyczy to operacji związanych z nagraniami, w tym dostępu do dowodów. Granica ta jest istotna, ponieważ nagranie ma znaczenie wyłącznie w kontekście organizacji i nagrania, do których należy.

VaultPAM zapisuje w dzienniku audytu zarówno udany dostęp, jak i odmowy autoryzacji. Wynika z tego prosta, lecz ważna zasada: dostęp do dowodów sam jest dowodem. Udane odtworzenie lub eksport pozostawia zapis, podobnie jak próba bez wymaganej autoryzacji. Pozwala to rozliczać przegląd nagrań, nie zakładając, że każda osoba powinna mieć do nich dostęp.

Zachowuj nagrania z zabezpieczeniami operacyjnymi

Retencja musi równoważyć dostępność dowodów z określonym cyklem życia. VaultPAM oferuje konfigurowalne okresy retencji wynoszące 30, 90, 180 lub 365 dni. Domyślnie jest to 90 dni z 7-dniowym okresem karencji.

Skrócenie okresu retencji wymaga dodatkowych zabezpieczeń. Wymaga ono ponownego, podwyższonego uwierzytelnienia oraz wpisanego potwierdzenia przez administratora platformy. Wynikowe usunięcia są audytowane, a usuwanie uwzględnia zabezpieczenia wstrzymania prawnego.

Te zabezpieczenia skupiają uwagę na zmianie, która może skrócić dostępność dowodów nagrania. Skrócenie retencji nie jest traktowane jako zwykła edycja konfiguracji: wymaga świeżego kroku uwierzytelnienia, jawnego wpisanego potwierdzenia i roli administratora platformy. Wynikowa aktywność usuwania staje się częścią historii audytu, a wstrzymania prawne pozostają zabezpieczeniem w procesie usuwania.

Co to oznacza dla osób zajmujących się NIS2 i SOC 2

W przypadku NIS2 mapa zgodności VaultPAM łączy art. 21 ust. 2 lit. a) ze ścieżką audytu i nagrywaniem sesji dla każdego dostępu uprzywilejowanego, a art. 21 ust. 2 lit. b) z alertami w czasie rzeczywistym dotyczącymi podejrzanych sesji uprzywilejowanych oraz pełnym odtwarzaniem sesji na potrzeby badania incydentów. Szczegóły techniczne opisane w tym artykule pomagają wyjaśnić, dlaczego nagranie sesji może wspierać to powiązanie: zapis jest przechwytywany przez kontrolowaną ścieżkę, chroniony w spoczynku, powiązany z kontekstem i umożliwia weryfikację integralności.

W odniesieniu do SOC 2 obecny status jest precyzyjny: audyt Type II w toku, raport oczekiwany w 2026 r. Ochronę nagrań należy oceniać na podstawie mechanizmów kontroli, które można wykazać, w tym szyfrowania, weryfikacji, granic autoryzacji, zabezpieczeń retencji i historii audytu — a nie na podstawie raportu, który nie został jeszcze wydany.

Szerszy kontekst bezpieczeństwa zabezpieczeń nagrań opisanych w tym artykule przedstawia strona bezpieczeństwa VaultPAM.

Dowody powinny być testowalne, a nie tylko przechowywane

Rezultatem nie jest obietnica, że przechowywanemu nagraniu można ufać tylko dlatego, że istnieje. Jest nim zestaw kontroli i granic: kontrolowane przechwytywanie, szyfrowanie kopertowe z kluczem dla każdego artefaktu, uwierzytelniony kontekst, zweryfikowane zaszyfrowane utrwalenie przed usunięciem lokalnego tekstu jawnego, weryfikacja łańcucha skrótów, odrębne uprawnienia dostępu, operacje ograniczone do środowiska klienta i zarządzana retencja.

To jest standard inżynieryjny stojący za nagraniem, które może mieć wartość dowodową. Gdy pojawia się pytanie o to, co wydarzyło się podczas sesji uprzywilejowanej, odpowiedź powinna opierać się na zapisie, którego zawartość, kontekst, dostęp i cykl życia można zbadać. W ten sposób nagranie sesji staje się dowodem, na którym organizacja może polegać.