Прапанаваць прыладу аддаленага доступу, якую ўладальнік сеткі можа ўхваліць

Прылада аддаленага доступу змяняе мяжу сеткі кліента, нават калі яна злучаецца вонкі і не патрабуе ніякай перасылкі партоў, якая ўваходзіць. Менавіта кірунак вонкі робіць яе лёгкай для ўсталявання і лёгкай для таго, каб яе не заўважылі. Падайце яе як запыт на праектаванне доступу, перш чым яна трапіць у сетку. Падаваць яе як нешта, што не было патрэбы згадваць, — гэта шлях, якім тэхнічны поспех ператвараецца ў праблему кантракта.

Меркавайце, што ўладальнік сеткі задасць чатыры пытанні: што, хто, як далёка і як мы гэта адкоцім.

Прасіце рэсурс, а не падсетку

Апішыце працу тэрмінамі, якія ўжывае ўладальнік: якому чалавеку патрэбна якая служба, на якой прыладзе і на колькі. Запыт, абмежаваны адной праграмай на адным хосце, лёгка ўхваліць. Запыт на падсетку — гэта запыт пераарганізаваць сегментацыю кагосьці іншага.

Магчыма, кліент ужо запускае ўхвалены VPN, шлюз для аддаленага працоўнага стала або кіраваны канал падтрымкі, які задавальняе патрэбу. Праверце гэта перш за ўсё, бо паўторнае выкарыстанне існуючага шляху звычайна самы танны адказ для абодвух бакоў. Калі ён не падыходзіць, скажыце дакладна чаму. Гэтае параўнанне — самая моцная частка прапановы.

Калі прылада сапраўды патрэбна, прынясіце яе ўладальніка, крыніцу праграмнага забеспячэння, працэс абнаўлення і меркаваны пункт усталявання.

Пакажыце злучэнне і тое, дзе давер сканчаецца

Намалюйце прыладу, аддаленага карыстальніка, любога пасярэдніка або рэтранслятар і абараняемы рэсурс. Пазначце, дзе сканчаецца шыфраванне і хто адмініструе кожны канец. Выходная сесія ўсё роўна ўводзіць новы шлях кіравання, і менавіта на схеме гэта робіцца бачным. Сцвярджэнне, што трафік шыфраваны, адказвае на пытанне канфідэнцыйнасці і ні на якое пытанне аўтарызацыі.

Назвіце рэжым ясна: перасылка пакетаў, праксі праграм або адкрыты працоўны стол. Кожны мае розныя наступствы для маршрутызацыі і бяспекі хоста, і кожны адмаўляе па-рознаму, калі прылада скампраметаваная.

Трымайце незвязаныя сеткі кліента і ўласны інтэрфейс адміністравання прылады па-за ўхваленым ахопам.

Аддзяліце ідэнтычнасць карыстальніка ад ідэнтычнасці прылады

Рэгістрацыя карыстальнікаў, ідэнтычнасць прылады, шматрадковая аўтэнтыфікацыя і ўваход у праграму — гэта чатыры розныя кантролі, і прапанова павінна назваць кожную. Агульныя ўліковыя даныя — звычайная хуткая дарога, і яны пакідаюць уладальніка без магчымасці адклікаць аднаго чалавека, не парушыўшы ўсім. Уваход павінен заставацца ў праграме. Прылада аўтэнтыфікуе злучэнне; служба вырашае, што гэтае злучэнне можа рабіць.

Архітэктура нулявога даверу NIST карысная тут, бо разглядае доступ да рэсурсаў як яўнае рашэнне, а не як вынік месца ў сетцы.

Дагаварыцеся пра аднаўленне і выдаленне перад усталяваннем

Уладальнік павінен мець магчымасць хутка адключыць доступ праз кантроль, які ён сам вядзе, а не праз званок вам. Запішыце адкліканне ўліковых даных, выдаленне прылады, адказнасць за абнаўленні і дату заканчэння або перагляду. Захавайце лакальны шлях аднаўлення, які не залежыць ад новага аддаленага канала. Прылада, якую ніхто не можа выдаліць без пастаўшчыка, — гэта пастаянная залежнасць, замаскіраваная пад зручнасць.

Вядзіце запісы саразмерна: ухваленыя ідэнтычнасці, ахоп доступу, значныя змены і адпаведныя збоі.

Збор незвязанай гісторыі прагляду каб даказаць, што прылада існуе, не з’яўляецца доказам добрай працы, і гэта стварае абавязак, якога ўладальнік ніколі не прасіў.

Як выглядае паспяховае ўхваленне

Прыміце праект разам з уладальнікам з адной дазволенай службай і адным рэсурсам, які мусіць заставацца забароненым. Гэтая другая палова — тая частка, якую людзі прапускаюць, і гэта адзіная частка, якая даказвае, што мяжа стаіць там, дзе кажа схема. Праверце адкліканне таксама, перш чым прылада пацягне сапраўдную працу. Калі ўхваленне затрыманае, скарыстайцеся дазволенай альтэрнатывай кліента або зрабіце працу лакальна.

Працуючае злучэнне — не дазвол ствараць шлях доступу.

Запішыце ўхваленне з яго ахопам і тэрмінам, і перадайце копію ўладальніку. Наступны чалавек, які дакранецца да гэтай сеткі, прачытае запіс, а не вашае ўспамін пра размову.