Заблакаваць адну прыладу ў VPN, не адключаючы ўвесь уліковы запіс

Адзін супрацоўнік, два ноўтбукі, і толькі адзін з іх павінен страціць доступ. Адключэнне ўліковага запісу — гэта відавочны рычаг, але яно карае не той абсяг, а выдаленне захаванага профілю на канчатковым пункце — гэта прапанова, а не кантроль. Рашэнне зводзіцца да трох умоў: ці існуе ідэнтычнасць прылады, якую VPN можа праверыць, ці гэтае канкрэтнае злучэнне сапраўды яе ацэньвае, і што вы хочаце, каб адбылося з прыладай, а не з чалавекам. Адказайце на іх у такім парадку, і прымяненне звычайна выбірае сябе само.

Першая ўмова: ці ёсць доказы прылады, якія VPN можа праверыць?

Крынічны адрас агульны за офісным NAT і змяняецца ў мабільных сетках. Імя хоста — гэта тое, што заяўляе прылада, MAC-адрас лёгка падрабляецца, а значэнне рэестра можа запісаць што заўгодна з лакальнымі правамі. Нішто з гэтага не ідэнтычнасць, пакуль нешта яго не праверыць. Асобна зарэгістраваныя ўліковыя дадзеныя прылады, напрыклад сертыфікат, выдадзены гэтаму канчатковаму пункту, — адзіны варыянт, які дае адкліканню мэту, вузейшую за ўліковы запіс карыстальніка.

Уліковыя дадзеныя маюць значэнне, толькі калі злучэнне аўтэнтыфікуецца імі і правярае ланцуг пры кожнай спробе. Файл, які ляжыць у сховішчы машыны, нічога не даказвае.

Другая ўмова: ці ацэньвае гэтае злучэнне яе?

Атрыбуты канчатковага пункта не ўніверсальныя. На ASA кіраўніцтва ASDM DAP ад Cisco аддзяляе інфармацыю AAA карыстальніка ад атрыбутаў ацэнкі канчатковага пункта, і тое, якія атрыбуты даступныя, залежыць ад пратаколу выдаленага доступу, разгорнутых сродкаў posture і ліцэнзіі. Праверка рэестра патрабуе падтрымліванага шляху збору, і нават тады яна паведамляе тое, што ўбачыў сродак канчатковага пункта, а не тое, што машына — гэта тая, якой вы давяраеце.

Таму практычнае пытанне вузкае: на гэтым тунелі, з гэтым кліентам і гэтым агентам posture, які атрыбут прыходзіць запоўненым і надзейным? Калі адказ — ніводны, палітыка, напісаная супраць яго, будзе супадаць ні з чым або з усім, і абодва вынікі горшыя за блакаванне ўліковага запісу, якога вы пазбягалі.

Трэцяя ўмова: адмова, выпраўленне ці вузейшы доступ?

Даступныя тры вынікі, і яны не ўзаемазаменныя. Вы можаце спыніць сеанс, што цалкам пазбаўляе доступу; вы можаце змясціць прыладу на каранцін у стан, дзе яна дасягае толькі рэсурсаў выпраўлення; або вы можаце пакінуць сеанс і ўрэзаць яго ACL рэсурсаў да некалькіх рэчаў, якія гэтай прыладзе яшчэ патрэбныя. Дзеянні сеанса DAP і ACL рэсурсаў адказваюць на розныя пытанні, таму выбар тычыцца таго, колькі пабочнай шкоды павінен панесці чалавек.

Для страчанага або ўкрадзенага ноўтбука адказ звычайна — спыненне. Для машыны, якая не прайшла праверку posture, выпраўленне лагоднейшае і гэтак жа эфектыўнае.

Вырашыце, што адбываецца, калі доказаў няма

Шлях па змаўчанні важнейшы за правіла, якое вы напісалі для добрага выпадку. Калі чаканы атрыбут ніколі не прыходзіць, бо агент posture зламаны, палітыка, якая яго патрабуе, можа праваліцца да змаўчання, якое дапускае сеанс. Прачытайце вынік па змаўчанні і наўмысна праверце выпадак адсутнасці доказаў, бо менавіта такі стан прадставіць зламыснік, які выдаліць агента.

Некалькі супадаючых запісаў DAP агрэгуюцца, а не вырашаюцца простым парадкам першага супадзення, і іх прыярытэт ACL — асобны механізм ад выбару запісу. Прачытайце апісанне агрэгацыі ў кіраўніцтве, перш чым меркаваць, што перамагае больш строгі запіс.

Апрацуйце сеансы, якія ўжо існуюць, затым праверце абедзве прылады

Змена правіла допуску або адкліканне ўліковых дадзеных не апісвае, што адбудзецца з сеансам, які ўжо ўсталяваны і прапускае трафік. Калі патрабуецца неадкладнае выдаленне, выконвайце падтрыманую рэалізацыяй працэдуру спынення сеанса і пераацэнкі, замест таго каб чакаць наступнага перападлучэння. Гэта крок, які часцей за ўсё прапускаюць падчас інцыдэнту, і гэта розніца паміж палітыкай і вынікам.

Праверце з тым жа дазволеным карыстальнікам на абедзвюх машынах пад ухваленай праверкай. Заблакаваная прылада павінна атрымаць менавіта прадугледжаную адмову або вынік выпраўлення, а другая — захаваць толькі свае дазволеныя рэсурсы. Гэта правярае мяжу прылады, не адклікаючы іншы ўхвалены доступ чалавека.

Калі вы не можаце зрабіць гэтыя два вынікі рознымі, праблема ў доказах, а не ў палітыцы, і ніякая настройка правілаў гэтага не выправіць.