Blokirajte jedan uređaj s VPN-a bez onemogućavanja cijelog računa

Jedan zaposlenik, dva laptopa i samo jedan od njih mora izgubiti pristup. Onemogućavanje računa očigledna je poluga, ali kažnjava pogrešan obim, dok je brisanje sačuvanog profila na krajnjoj točki prijedlog, a ne kontrola. Odluka se svodi na tri uvjeta: postoji li identitet uređaja koji VPN može provjeriti, procjenjuje li ta konkretna veza taj identitet i šta želite da se dogodi uređaju, a ne osobi. Odgovorite na njih tim redom i provođenje se obično samo odabere.

Prvi uvjet: postoje li dokazi o uređaju koje VPN može provjeriti?

Izvorna adresa dijeli se iza uredskog NAT-a i mijenja se na mobilnim mrežama. Ime hosta je ono što uređaj tvrdi, MAC adresa se trivijalno lažira, a vrijednost u registru može upisati bilo šta s lokalnim pravima. Ništa od toga nije identitet dok to nešto ne provjeri. Zasebno registrirani akreditiv uređaja, poput certifikata izdanog toj krajnjoj točki, jedina je opcija koja opozivu daje metu užu od korisničkog računa.

Akreditiv se računa samo ako se veza njime autentificira i provjerava lanac pri svakom pokušaju. Datoteka koja stoji u spremištu mašine ne dokazuje ništa.

Drugi uvjet: procjenjuje li ta veza to?

Atributi krajnje točke nisu univerzalni. Na ASA, Ciscoov vodič ASDM DAP odvaja korisničke AAA informacije od atributa procjene krajnje točke, a dostupnost atributa zavisi od protokola za daljinski pristup koji se koristi, instaliranih posture alata i licence. Provjera registra zahtijeva podržanu putanju prikupljanja, pa i tada izvještava šta je alat krajnje točke vidio, a ne da je mašina ona kojoj vjerujete.

Zato je praktično pitanje usko: na ovom tunelu, s ovim klijentom i ovim posture agentom, koji atribut dolazi popunjen i pouzdan? Ako je odgovor nijedan, politika napisana protiv njega odgovarat će ničemu ili svemu, a oba su ishoda gora od zaključavanja računa koje ste izbjegavali.

Treći uvjet: odbijanje, popravak ili uži pristup?

Dostupna su tri ishoda i nisu zamjenjivi. Možete prekinuti sesiju, što potpuno uklanja pristup; možete staviti uređaj u karantin u stanje u kojem doseže samo resurse za popravak; ili možete ostaviti sesiju i srezati njezin ACL resursa na nekoliko stvari koje taj uređaj još treba. DAP radnje sesije i ACL-ovi resursa odgovaraju na različita pitanja, pa se izbor odnosi na to koliko popratne štete osoba treba da podnese.

Za izgubljeni ili ukradeni laptop odgovor je obično prekid. Za mašinu koja nije prošla posture provjeru, popravak je blaži i jednako djelotvoran.

Odlučite šta se dogodi kada dokazi nedostaju

Zadana putanja važnija je od pravila koje ste napisali za dobar slučaj. Ako očekivani atribut nikada ne stigne jer je posture agent pokvaren, politika koja ga zahtijeva može propasti na zadanu vrijednost koja propušta sesiju. Pročitajte zadani rezultat i namjerno testirajte slučaj bez dokaza, jer to je stanje koje će predstaviti napadač koji ukloni agenta.

Više podudarnih DAP zapisa agregira se, a ne rješava se jednostavnim redoslijedom prvog podudaranja, a njihov ACL prioritet odvojen je mehanizam od odabira zapisa. Pročitajte opis agregacije u vodiču prije nego pretpostavite da stroži zapis pobjeđuje.

Riješite sesije koje već postoje, zatim testirajte oba uređaja

Promjena pravila prijema ili opoziv akreditiva ne opisuje šta se događa sa sesijom koja je već uspostavljena i propušta promet. Ako je potrebno trenutno uklanjanje, slijedite proceduru prekida i ponovne procjene sesije koju implementacija podržava, umjesto da čekate sljedeće ponovno povezivanje. To je korak koji se najčešće preskače tokom incidenta i to je razlika između politike i ishoda.

Testirajte s istim dopuštenim korisnikom na obje mašine pod odobrenom provjerom. Blokirani uređaj treba dobiti točno predviđeno odbijanje ili ishod popravka, a drugi zadržati samo svoje ovlaštene resurse. To provjerava granicu uređaja bez opoziva drugog odobrenog pristupa osobe.

Ako ne možete učiniti ta dva ishoda različitim, problem je u dokazima, a ne u politici, i nikakvo podešavanje pravila to neće popraviti.