Saoedi-Arabiese werk-VPN: drie vrae voordat jy toegang aanvra

’n Geweierde tweede aanmelding of ’n geblokkeerde interne toepassing dui selde op ’n stukkende tonnel. Werk-VPN’s handhaaf drie afsonderlike dinge: wat die rekening mag bereik, hoeveel sessies dit mag hou, en watter interne dienste vir afgeleë gebruikers gepubliseer is. Vra daardie drie vrae in volgorde, want elkeen het ’n ander eienaar. ’n Gepubliseerde raamwerk soos die NCA-riglyn vir die implementering van telewerk is ’n nuttige raamwerk vir die gesprek, nie ’n uitspraak oor enigiemand se regsposisie nie.

Eerste: wat mag hierdie rekening bereik?

Toegangsregte word deur stelselsensitiwiteit, toegangsvlak en toegelate toesteltipe bepaal, en dit is organisasiebesluite eerder as eienskappe van die tonnel. Om die wagwoord te ken, antwoord net of die verbinding opgerig mag word. Dit sê nie of die rekening ’n dokument mag oopmaak, ’n bediener mag administreer of ’n beheerder mag verander nie. Vra vir die beoogde hulpbron en bewerking, nie vir toegang tot die netwerk as geheel nie.

’n Versoek wat as ’n bestemming geformuleer is, is makliker om goed te keur as een wat as ’n gevoel geformuleer is. Daarom gaan die eerste vraag oor die hulpbron, nie oor die netwerk nie.

NCA 2-2-1-1 koppel toegangsregte aan presies daardie drie dimensies, en daarom moet die antwoord ’n stelsel en ’n bewerking noem. Dieselfde reëls blyk uit zero-trust-riglyne: netwerklokasie is nie magtiging nie. ’n Gebruiker op die korporatiewe VPN en ’n gebruiker op ’n tuisverbinding kan albei geauthentiseer wees, en die toepassing besluit steeds wat elkeen mag doen.

Tweede: hoeveel sessies mag gelyktydig loop?

Gelyktydige afgeleë toegang is ’n aparte beheermaatreël, en NCA 2-2-1-2 dek dit saam met ’n goedkeuringspad vir uitsonderings. Organisasies beperk dit dikwels, soms tot een aktiewe sessie per rekening. Die limiet is ’n beleidsyfer wat die operateur stel, nie ’n protokolkonstante nie, so niemand buite die organisasie kan vir jou die waarde sê nie. ’n Verouderde sessie wat niemand kan sluit nie, is ’n operasionele probleem wat op sigself gerapporteer moet word.

As ’n tweede skootrekenaar geweier word, is die eerste sessie die gewone verklaring. Vra hoe die operateur sessies identifiseer en hoe verouderde sessies gesluit word; sommige stelsels laat ’n onaktiewe sessie verval, ander hou dit totdat dit uitdruklik beëindig word. Moet nie die kliënt herinstalleer, die profiel omruil of uitgange verander voordat daardie antwoord kom nie.

Derde: watter interne dienste is gepubliseer?

Afgeleë toegang publiseer gewoonlik ’n bepaalde stel dienste, protokolle en poorte, en NCA 2-4-1-1 hou daardie stel by wat afgeleë werk werklik nodig het. Die lys is kleiner as die private netwerk, en dit is doelbewus. Vra watter diens en poort jy nodig het eerder as om breë bereikbaarheid te versoek, want ’n breë versoek is moeiliker om te regverdig en baie moeiliker om later na te gaan.

Die ondersteuningsversoek moet die rekeningrol, die goedgekeurde toestel, die teikendiens, die tyd van die fout en die nie-geheime foutteks bevat. Stuur dit deur die organisasie se kanaal eerder as na wie ook al eerste in ’n groepgesprek antwoord. Dit is genoeg vir die eienaar om beleid en logs na te gaan. Wagwoorde, herstelkodes en private sleutels hoort nie daarin nie.

Wat om te doen wanneer die antwoord nee is

’n Weiering is dikwels ’n omvangwanpassing eerder as ’n veiligheidsuitspraak. Die diens is dalk net vir kantooradresse gepubliseer, of die rol het dalk nie die bewerking nie al werk die tonnel. Vra watter van die drie vrae gefaal het, en die oplossing word gewoonlik duidelik. As ’n uitsondering nodig is, vra die eienaar om dit aan te teken eerder as om dit te omseil.

Moenie ’n kollega se sessie leen, ’n kliëntkontrole deaktiveer of verkeer deur ’n nie-goedgekeurde uitgang stuur om ’n toets te laat slaag nie. Elkeen daarvan vervang ’n auditeerbare weiering met ’n sukses wat niemand kan auditeer nie, en die volgende hersiening sal die verskil vind. Die goedgekeurde uitsondering is stadiger en oorleef ’n oudit.

Die vrae om na die eienaar te neem

Skryf dit neer voor die oproep: vir watter hulpbronne en bewerkings hierdie rekening goedgekeur is, wat die beleid vir gelyktydige sessies is en hoe verouderde sessies skoongemaak word, en watter interne dienste en poorte vir afgeleë gebruikers gepubliseer is. Vra die eienaar om huidige toepaslikheid te bevestig, want riglyne word hersien en interne beleid kan strenger wees as die gepubliseerde basislyn. Voeg die toestelvereiste by as die organisasie een het.

’n Beheerraamwerk help jou om presiese vrae te vra. Dit magtig nie ’n aktiwiteit nie, en dit vervang nie die operateur se antwoord nie.

Bring die antwoorde terug na dieselfde eienaar wanneer die volgende verandering voorgestel word. Dit is wat ’n eenmalige goedkeuring omskep in ’n beleid wat iemand onderhou.