Always-on VPN: pad, toestemming en sessie apart

Om ’n tonnel die hele dag en nag oop te hou, is ’n ontwerpkeuse met ’n verantwoorde weergawe en ’n onverskillige weergawe. ’n Tak wat die hele dag toegang tot ’n sentrale toepassing nodig het, plus ’n nagtelike rugsteuntaak, het ’n rede. ’n Skootrekenaar wat drie dae lank in ’n hotelkamer aangeskakel bly, is ’n ongeluk.

Albei wys dieselfde groen ikoon, en albei antwoord dieselfde as jy vra hoe lank die tonnel al oop is. Daardie syfer is nie die interessante een nie. Wat saak maak, is wat die verbinding beskikbaar hou, vir wie, en wat dit werklik be’indig.

Drie horlosies wat apart loop

Die eerste toestand is die pad. ’n Tonnel en sy beleide maak ’n stel dienste bereikbaar, en ’n skakel sonder verkeer kan gereed bly vir die volgende versoek. Hoe lank dit gereed bly, is ’n implementeringsbesluit, nie ’n universele tydhouer nie.

Die tweede toestand is toestemming. ’n Aanvaarde identiteit of toestel mag gemagtig wees om daardie pad te gebruik. Daardie magtiging moet verander wanneer ’n rol verander, ’n toestel wegraak of bedrog vermoed word, en dit staan los van of pakkette vloei.

Die derde toestand is die toepassing se eie sessie. ’n Databasiskliënt, ’n afstandswerkbord of ’n webtoepassing verifieer afsonderlik en hou sy eie toestand. Om die tonnel te sluit, be’indig nie noodwendig enige daarvan nie.

’n Oorsig wat hierdie drie as een vraag hanteer, eindig in ’n argument oor ledige tydhouers. Elk van die drie kan op sy eie gesond of stukkend wees, en ’n bevinding by een sê min oor die ander. ’n Kontrolelys met drie reëls is beter as ’n debat oor een enkele tydverval. Skryf die antwoord vir elke toestand afsonderlik.

Die tonnel is ’n pad, nie ’n kenteken nie

’n Gevestigde tonnel is bewys dat daar ’n beskermde pad tussen twee eindpunte bestaan. Dit is nie bewys dat elke proses agter enige eindpunt elke diens aan die ander kant moet bereik nie.

Zero-trust-riglyne van NIST maak dieselfde punt uit die ander rigting: netwerklokasie moet nie as stilswyende vertroue behandel word nie. ’n Werfskakel is ’n vervoerfeit, en toestemming vir een gasheer om een toepassing te gebruik is ’n aparte besluit met sy eie eienaar.

’n Eweknie wat gekompromitteer is, kan steeds skadelike aksies probeer deur dienste wat hy mag bereik. Filtering en monitering verminder spesifieke risiko’s sonder om die gevolge van eindpuntkompromittering uit te wis. Ontwerp vir die pad, en magtig vir die diens.

Om ’n permanente werfskakel te regverdig

Die verdedigbare weergawe van altyd-aan noem sy doel presies. Watter bronne, watter bestemmings, watter rigting, en wie besit elke inskrywing. ’n Tak-firewall wat elke takgasheer na elke sentrale subnet toelaat, het nie ’n skakel vir ’n genoemde doel gehou nie; hy het dit gehou vir enigiets waaraan iemand later dink.

Waar ’n eweknie nie die vereiste vertrouensvlak kan haal nie, vernou die grens of verander die reëling. Om op occasionele handmatige ontkoppeling te vertrou, is ’n prosesbeheer, en prosesbeheerders is die minste betroubaar juis wanneer ’n voorval hulle ongerieflik maak.

Hou die regverdiging by die konfigurasie. ’n Permanente uitsondering met ’n geskrewe doel kan hersien en teruggetrek word. Een sonder ’n doel word by verstek permanent.

Sleutelvervanging is nie herroeping nie

Om sleutels volgens ’n skedule te vervang, onderhou die beskermingslewensiklus. Dit verfris materiaal en bewaar vertroulikheid. Dit verwyder nie ’n eindpunt se aanspraak nie.

As die eindpunt nog geldige geloofsbriewe hou en ’n toegangsbeleid wat dit aanvaar, herstel die volgende onderhandeling dieselfde toegelate pad. Daarom is sleutels roteer elke uur nie ’n antwoord op ’n verlore toestel nie: die verlore toestel roteer ook, solank sy identiteit nog vertrou word. Kontroleer die aanspraak voordat jy die skedule kontroleer. Rotasie is higiëne, en herroeping is ’n toegangsbesluit.

Herroeping is ’n ander meganisme met sy eie vertraging: ’n ingetrekte sertifikaat, ’n gedeaktiveerde rekening, ’n veranderde groep, ’n verwyderde netwerkreek. Elkeen tree op ’n ander punt in werking, en elkeen gedra hom anders vir sessies wat reeds gevestig is.

Be’indig wat reeds loop

Vra wat die implementering aan gevestigde sessies doen wanneer toegang verwyder word. Dit kan hulle be’indig, op verval wag, of een of ander gedokumenteerde gedrag tussenin toepas. Moenie aanneem dat môre se toelatingsverandering vandag se toepassingsverbinding sluit nie.

Vir interaktiewe toegang, plaas sessielimiete en onaktiwiteitsreëls in die hande van die identiteits- en VPN-eienaars eerder as net die netwerkspan nie. Vir ’n werfsdiens, stel die prosedure op wat onderhoud, ’n onderbreking of ’n sekuriteitsvoorval gebruik om toegang te deaktiveer.

Toets dan drie uitkomste: toegelate werk werk steeds, ’n onverwante diens word geweier, en die verwyderingsprosedure lewer die gedokumenteerde resultaat. ’n Altyd-aan-ontwerp is aanvaarbaar wanneer sy doel, magtiging en afskakelvermoë almal neergeskryf en geoefen is. Anders is dit ’n gerief wat sy rede oorleef het.