Always-on VPN: шлях, дазвол і сесія асобна

Трымаць тунель адкрытым круглыя суткі — гэта праектнае рашэнне, у якога ёсць разумны варыянт і бесклапотны варыянт. Філія, якой цэлы дзень патрэбна цэнтральная праграма, а ўначы — задача рэзервовага капіравання, мае прычыну. Ноўтбук, які тры дні ляжыць падключаным у гатэльным нумары, — гэта аварыя.

Абодва паказваюць адзнаку аднолькавага зялёнага колеру, і абодва аднолькава адкажуць, калі спытаць, як доўга трымаецца тунель. Гэтая лічба не самая цікавая. Важна тое, што злучэнне трымае даступным, каму і што яго насамрэч спыняе.

Тры гадзіннікі, якія ідуць асобна

Першы стан — шлях. Тунель і яго палітыкі робяць набор службаў дасяжным, а злучэнне без трафіку можа заставацца гатовым да наступнага запыту. Колькі яно застаецца гатовым — рашэнне рэалізацыі, а не ўніверсальны таймер.

Другі стан — дазвол. Прынятая асоба або прылада можа мець права карыстацца гэтым шляхам. Гэтае права павінна змяняцца, калі змяняецца роля, прылада знікае або ўзнікае падазрэнне пра ўзлом, і яно не залежыць ад таго, ці ідуць пакеты.

Трэці стан — уласная сесія праграмы. Кліент базы даных, аддалены працоўны стол або вэб-праграма аўтэнтыфікуюцца асобна і трымаюць свой стан. Зачыненне тунелю не абавязкова спыняе хоць штосьці з гэтага.

Агляд, які бярэ гэтыя тры як адно пытанне, сканчаецца спрэчкай пра таймеры бяздзейнасці. Кожны з трох можа быць здаровым або зламаным сам па сабе, і знаходка ў адным мала гаворыць пра іншыя. Кантрольны спіс з трох радкоў лепшы за спрэчку пра адзінае значэнне часу. Напішыце адказ для кожнага стану асобна.

Тунель — гэта шлях, а не значок

Усталяваны тунель — доказ таго, што паміж двума канцамі існуе абаронены шлях. Гэта не доказ таго, што кожны працэс за любым з канцоў павінен дасягаць кожнай службы на другім баку.

Рэкамендацыі NIST пра нулявы давер кажуць тое ж з іншага боку: месца ў сетцы нельга лічыць неяўным даверам. Сувязь пляцоўкі — гэта факт транспарту, а дазвол аднаму хасту карыстацца адной праграмай — асобнае рашэнне з уласным уладальнікам.

Зламаны партнёр можа спрабаваць шкодныя дзеянні праз службы, да якіх яму дазволена дасягаць. Фільтраванне і маніторынг змяншаюць пэўныя рызыкі, але не сціраюць наступстваў узлому канцавога пункта. Праектуйце пад шлях, дазваляйце пад службу.

Абгрунтаванне пастаяннай сувязі пляцоўкі

Абараняльны варыянт пастаяннага рэжыму дакладна называе сваю мэту. Якія крыніцы, якія прызначэнні, які кірунак і хто ўладальнік кожнага запісу. Файрвол філіі, які дазваляе кожнаму хасту філіі дасягаць кожнай цэнтральнай падсеткі, не трымае сувязь для названай мэты; ён трымае яе для ўсяго, што хтосьці прыдумае пазней.

Там, дзе партнёр не можа дасягнуць патрабаванага ўзроўню даверу, звузьце мяжу або змяніце ўмовы. Разлік на зрэдку ручное адключэнне — гэта працэсны кантроль, а працэсныя кантролі найменш надзейныя менавіта тады, калі інцыдэнт робіць іх нязручнымі.

Трымайце абгрунтаванне разам з канфігурацыяй. Пастаянны вынятак з запісанай мэтай можна перагледзець і адмяніць. Вынятак без мэты становіцца пастаянным па змаўчанні.

Змена ключоў — не адкліканне

Замена ключоў па графіку падтрымлівае жыццёвы цыкл абароны. Яна абнаўляе матэрыял і захоўвае канфідэнцыяльнасць. Але яна не забірае права канцавога пункта.

Калі канцавы пункт яшчэ мае сапраўдныя ўліковыя дадзеныя і палітыку доступу, якая яго прымае, наступныя перамовы аднаўляюць той жа дазволены шлях. Таму штогадзіннае кручэнне ключоў не зяўляецца адказам на страчаную прыладу: страчаная прылада таксама круціцца, пакуль яе асоба яшчэ давяраецца. Праверце права перад праверкай графіка. Кручэнне — гігіена, адкліканне — рашэнне пра доступ.

Адкліканне — іншы механізм з уласнай затрымкай: адкліканы сертыфікат, адключаны ўліковы запіс, змененая група, выдаленае сеткавае правіла. Кожнае дзейнічае ў розны момант і паводзіць сябе па-рознаму для ўжо ўсталяваных сесій.

Спыніць тое, што ўжо працуе

Спытайце, што рэалізацыя робіць з усталяванымі сесіямі, калі доступ выдаляецца. Яна можа іх спыніць, чакаць заканчэння або прымяніць нейкія апісаныя паводзіны паміж. Не думайце, што заўтрашняя змена допуску зачыніць сённяшняе злучэнне праграмы.

Для інтэрактыўнага доступу перадайце абмежаванні сесій і правілы бяздзейнасці ўладальнікам ідэнтычнасці і VPN, а не толькі сеткавай камандзе. Для службы пляцоўкі вызначце працэдуру, якой карыстаюцца пры абслугоўванні, збоі або інцыдэнце бяспекі, каб адключыць доступ.

Затым праверце тры вынікі: дазволеная праца ўсё яшчэ працуе, непаўязаная служба адхіляецца, а працэдура выдалення дае апісаны вынік. Праект пастаяннага рэжыму прымальны, калі яго мэта, паўнамоцтвы і здольнасць спынення ўсе запісаныя і правераныя на практыцы. Інакш гэта зручнасць, якая перажыла сваю прычыну.