Працоўны VPN у Саудаўскай Аравіі: тры пытанні перад запытам доступу

Адмова ў другім уваходзе або заблакаваная ўнутраная праграма рэдка паказваюць на зламаны тунель. Працоўныя VPN прымяняюць тры асобныя рэчы: да чаго можа дабрацца ўліковы запіс, колькі сеансаў ён можа ўтрымліваць і якія ўнутраныя сэрвісы апублікаваныя для аддаленых карыстальнікаў. Задавайце гэтыя тры пытанні па парадку, бо ў кожнага свой уладальнік. Апублікаваная аснова, напрыклад кіраўніцтва NCA па ўкараненні дыстанцыйнай працы, — карысная аснова для размовы, а не вырак пра чыюсьці прававую пазіцыю.

Першае: да чаго мае доступ гэты ўліковы запіс?

Правы доступу вызначаюцца чуллівасцю сістэмы, узроўнем доступу і дазволеным тыпам прылады, і гэта арганізацыйныя рашэнні, а не ўласцівасці тунеля. Валоданне паролем адказвае толькі на пытанне, ці можна ўсталяваць злучэнне. Яно не кажа, ці можа ўліковы запіс адкрыць дакумент, адміністраваць сервер або змяніць кантролер. Прасіце патрэбны рэсурс і аперацыю, а не доступ да сеткі цалкам.

Запыт, сфармуляваны як месца прызначэння, лягчэй ухваліць, чым запыт, сфармуляваны як адчуванне. Таму першае пытанне — пра рэсурс, а не пра сетку.

NCA 2-2-1-1 прывязвае правы доступу менавіта да гэтых трох вымярэнняў, таму адказ павінен назваць сістэму і аперацыю. Тая ж логіка ёсць у рэкамендацыях па нулявым даверы: месца ў сетцы — гэта не аўтарызацыя. Карыстальнік у карпаратыўным VPN і карыстальнік у хатнім злучэнні могуць абодва прайсці аўтэнтыфікацыю, і праграма ўсё роўна вырашае, што кожнаму дазволена.

Другое: колькі сеансаў можа ісці адначасова?

Адначасовы аддалены доступ — асобны кантроль, і NCA 2-2-1-2 ахоплівае яго разам з шляхам ухвалення выключэнняў. Арганізацыі звычайна абмяжоўваюць яго, часам адным актыўным сеансам на ўліковы запіс. Ліміт — гэта лік палітыкі, які ўстанаўлівае аператар, а не канстанта пратакола, таму ніхто зне арганізацыі не скажа вам значэнне. Састарэлы сеанс, які ніхто не можа закрыць, — аперацыйная праблема, пра якую варта паведаміць асобна.

Калі другі ноўтбук адхілены, звычайнае тлумачэнне — першы сеанс. Спытайце, як аператар ідэнтыфікуе сеансы і як закрываюцца састарэлыя; адны сістэмы спыняюць прастойны сеанс, іншыя трымаюць яго, пакуль яго яўна не завершаць. Не пераўсталёўвайце кліент, не мяняйце профіль і не змяняйце выхады, пакуль не прыйдзе гэты адказ.

Трэцяе: якія ўнутраныя сэрвісы апублікаваныя?

Аддалены доступ звычайна публікуе пэўны набор сэрвісаў, пратаколаў і партоў, і NCA 2-4-1-1 трымае гэты набор у межах таго, што рэальна патрабуе аддаленая праца. Спіс меншы за прыватную сетку, і гэта наўмысна. Спытайце, які сэрвіс і порт вам патрэбныя, замест таго каб прасіць шырокую дасяжнасць, бо шырокі запыт цяжэй абгрунтаваць і значна цяжэй разгледзець пазней.

Запыт у падтрымку павінен змяшчаць ролю ўліковага запісу, ухваленую прыладу, мэтавы сэрвіс, час збою і не сакрэтны тэкст памылкі. Адпраўце яго праз канал арганізацыі, а не таму, хто першым адкажа ў групавым чаце. Гэтага дастаткова, каб уладальнік праверыў палітыку і журналы. Паролі, коды аднаўлення і прыватныя ключы не павінны там быць.

Што рабіць, калі адказ — не

Адмова часта ёсць неадпаведнасцю абсягу, а не вердыктам бяспекі. Сэрвіс можа быць апублікаваны толькі для адрасоў офіса, або ролі можа не хапаць аперацыі, нават калі тунель працуе. Спытайце, якое з трох пытанняў не спрацавала, і рашэнне звычайна становіцца відавочным. Калі патрэбна выключэнне, папрасіце ўладальніка зафіксаваць яго, а не абыходзіць.

Не пазычайце сеанс калегі, не адключайце праверку кліента і не накіроўвайце трафік праз неўхвалены выхад, каб тэст прайшоў. Кожнае з гэтага замяняе адмову, якую можна прааўдытаваць, поспехам, якога ніхто не можа прааўдытаваць, і наступны перагляд знойдзе розніцу. Ухваленае выключэнне павольнейшае і вытрымлівае аўдыт.

Пытанні для ўладальніка

Запішыце іх перад званком: на якія рэсурсы і аперацыі ўхвалены гэты ўліковы запіс, якая палітыка адначасовых сеансаў і як выдаляюцца састарэлыя сеансы, і якія ўнутраныя сэрвісы і парты апублікаваныя для аддаленых карыстальнікаў. Папрасіце ўладальніка пацвердзіць актуальнасць, бо кіраўніцтвы пераглядаюцца, а ўнутраная палітыка можа быць строгай за апублікаваны базавы ўзровень. Дадайце патрабаванне да прылады, калі яно ёсць у арганізацыі.

Аснова кантролю дапамагае задаваць дакладныя пытанні. Яна не дазваляе дзейнасць і не замяняе адказ аператара.

Вярніце адказы таму ж уладальніку, калі прапануецца наступная змена. Менавіта гэта ператварае разавую ўхвалу ў палітыку, якую хтосьці падтрымлівае.