Предложете устройство за отдалечен достъп, което собственикът на мрежата може да одобри

Устройство за отдалечен достъп променя границата на мрежата на клиента дори когато се свързва навън и не се нуждае от никакво входящо пренасочване на портове. Именно посоката навън го прави лесно за инсталиране и лесно за пропускане. Представете го като заявка за проектиране на достъп, преди то да влезе в мрежата. Представянето му като нещо, което не е трябвало да се споменава, е начинът, по който технически успех се превръща в договорен проблем.

Предположете, че собственикът на мрежата ще зададе четири въпроса: какво, кой, докъде и как го отменяме.

Искайте ресурса, не подмрежата

Опишете работата с термините, които собственикът използва: кой човек се нуждае от коя услуга, на кое устройство и за колко време. Заявка, ограничена до едно приложение на един хост, е лесна за одобряване. Заявка за подмрежа е заявка за преорганизиране на нечия сегментация.

Възможно е клиентът вече да работи с одобрен VPN, шлюз за отдалечен работен плот или управляван канал за поддръжка, който покрива нуждата. Проверете това първо, защото повторното използване на съществуващ път обикновено е най-евтиният отговор за двете страни. Ако не пасва, кажете точно защо. Това сравнение е най-силната част от предложението.

Ако устройство наистина е необходимо, донесете неговия собственик, източника на софтуера, процеса на актуализация и предвидената точка на инсталиране.

Покажете връзката и къде свършва доверието

Начертайте устройството, отдалечения потребител, всеки посредник или релей и защитения ресурс. Отбележете къде свършва криптирането и кой администрира всяка крайна точка. Изходящата сесия все пак въвежда нов път за управление и именно на диаграмата това става видимо. Да се каже, че трафикът е криптиран, отговаря на въпрос за поверителност и на нито един въпрос за оторизация.

Посочете режима изрично: препращане на пакети, прокси за приложения или открит работен плот. Всеки има различни последствия за маршрутизацията и сигурността на хоста и всеки се проваля по различен начин, когато устройството бъде компрометирано.

Дръжте несвързаните клиентски мрежи и собствения административен интерфейс на устройството извън одобрения обхват.

Разделете идентичността на потребителя от идентичността на устройството

Регистрацията на потребители, идентичността на устройството, многофакторното удостоверяване и влизането в приложението са четири различни контрола и предложението трябва да назове всеки от тях. Споделените идентификационни данни са обичайният пряк път и оставят собственика неспособен да отмени един човек, без да смути всички. Влизането трябва да остане при приложението. Устройството удостоверява връзка; услугата решава какво може да прави тази връзка.

Архитектурата на нулево доверие на NIST е полезна тук, защото третира достъпа до ресурси като изрично решение, а не като следствие от местоположението в мрежата.

Договорете възстановяване и премахване преди инсталирането

Собственикът трябва да може бързо да изключи достъпа чрез контрол, който сам управлява, а не чрез обаждане до вас. Запишете отнемането на идентификационни данни, премахването на устройството, отговорността за актуализациите и дата на изтичане или преглед. Запазете локален път за възстановяване, който не зависи от новия отдалечен канал. Устройство, което никой не може да премахне без доставчика, е постоянна зависимост, прикрита като удобство.

Водете записите съразмерно: одобрени идентичности, обхват на достъпа, значими промени и относими откази.

Събирането на несвързана история на сърфиране, за да се докаже, че устройството съществува, не е доказателство за добра работа и създава задължение, което собственикът никога не е искал.

Как изглежда успешното одобрение

Приемете проекта заедно със собственика с една разрешена услуга и един ресурс, който трябва да остане отказан. Тази втора половина е частта, която хората пропускат, и е единствената част, която доказва, че границата е там, където казва диаграмата. Тествайте отнемането по същия начин, преди устройството да носи истинска работа. Ако одобрението бъде задържано, използвайте одобрената алтернатива на клиента или свършете работата локално.

Работеща връзка не е разрешение да се създаде пътят за достъп.

Запишете одобрението с обхвата и срока му и предайте копие на собственика. Следващият човек, който се докосне до тази мрежа, ще прочете записа, а не вашия спомен от разговора.