Anleitungen
Widerruf & Eindämmung
Machen Sie einen kompromittierten Agenten überall auf einmal ungültig und dämmen Sie den Vorfall in Sekunden ein, protokolliert.
Widerruf mit einer Aktion
Der Widerruf einer Identität macht ihre Zugangsdaten und Scopes über jedes verbundene System hinweg auf einmal ungültig. Es gibt keine System-für-System-Rotation zu verfolgen — Eindämmung ist ein einziger Aufruf.
In der Praxis wird der Weg von Anomalie zu vollständigem Widerruf in Sekunden gemessen, nicht in den Stunden, die das Rotieren geteilter Keys braucht.
Wann widerrufen werden sollte
Widerrufen Sie bei jedem Signal, dass ein Agent kompromittiert ist oder sich fehlverhält: eine Anfrage außerhalb des Scopes, eine anomale Aktionsrate oder der Anruf eines Sponsors. Widerruf ist günstig und in der Wirkung umkehrbar — registrieren Sie neu oder stellen Sie neu aus, sobald die Situation verstanden ist.
Weil Zugangsdaten kurzlebig sind, bringt Widerruf oft nur einen Ablauf vor, der ohnehin in Minuten bevorstand.
Was protokolliert wird
Jeder Widerruf schreibt einen Eintrag ins Audit-Log mit Auslöser, Akteur, Zeitstempel und den entzogenen Scopes. Das Protokoll ist attestierungsfähig, sodass eine Vorfallsprüfung von Fakten ausgeht, nicht von Rekonstruktion.
Nach der Eindämmung
Prüfen Sie nach der Eindämmung die jüngsten Aktionen des Agenten im Audit-Log, verschärfen Sie bei Bedarf Policy oder Scope, und stellen Sie frische Zugangsdaten aus, um ihn zurückzubringen. Nichts Dauerhaftes überlebt den Vorfall.