Predložiti uređaj za daljinski pristup koji vlasnik mreže može odobriti

Uređaj za daljinski pristup mijenja mrežnu granicu klijenta čak i kada se javlja prema van i ne treba nikakvo dolazno preusmjeravanje portova. Smjer prema van je ono što ga čini lakim za instalaciju i što ga čini lakim za previdjeti. Predstavite ga kao zahtjev za dizajn pristupa prije nego što dođe na mrežu. Predstaviti ga kao nešto što niste morali spomenuti jeste način na koji tehnički uspjeh postaje ugovorni problem.

Pretpostavite da će vlasnik mreže postaviti četiri pitanja: šta, ko, koliko daleko i kako to poništavamo.

Tražite resurs, a ne podmrežu

Opišite posao terminima koje vlasnik koristi: kojoj osobi treba koja usluga, na kojem uređaju i koliko dugo. Zahtjev ograničen na jednu aplikaciju na jednom hostu lako je odobriti. Zahtjev za podmrežom je zahtjev da se nečija segmentacija reorganizuje.

Klijent možda već koristi odobreni VPN, mrežni pristupnik za udaljenu radnu površinu ili upravljani kanal podrške koji zadovoljava potrebu. Provjerite to prvo, jer ponovno korištenje postojeće staze obično je najjeftiniji odgovor za obje strane. Ako se ne uklapa, recite tačno zašto. To poređenje je najjači dio prijedloga.

Ako je uređaj zaista potreban, donesite njegovog vlasnika, izvor softvera, proces ažuriranja i predviđenu tačku instalacije.

Pokažite vezu i gdje povjerenje prestaje

Nacrtajte uređaj, udaljenog korisnika, bilo kakav posrednik ili relej i zaštićeni resurs. Označite gdje enkripcija prestaje i ko upravlja svakim krajem. Odlazna sesija ipak uvodi novu kontrolnu stazu, a na dijagramu to postaje vidljivo. Reći da je saobraćaj enkriptovan odgovara na pitanje povjerljivosti, a ne na pitanje autorizacije.

Navedite način rada eksplicitno: prosljeđivanje paketa, aplikacijski proxy ili izložena radna površina. Svaki ima različite posljedice po rutiranje i sigurnost hosta, i svaki na različit način otkazuje kada uređaj bude kompromitovan.

Držite nepovezane klijentove mreže i vlastito administrativno sučelje uređaja izvan odobrenog obuhvata.

Razdvojite korisnički identitet od identiteta uređaja

Upis korisnika, identitet uređaja, višefaktorska autentifikacija i prijava u aplikaciju su četiri različite kontrole, i prijedlog bi trebao navesti svaku od njih. Dijeljeni akreditivi su uobičajena prečica i ostavljaju vlasnika nesposobnim da opozove jednu osobu bez ometanja svih. Prijava bi trebala ostati uz aplikaciju. Uređaj autentifikuje vezu; usluga odlučuje šta ta veza smije raditi.

NIST-ova arhitektura nultog povjerenja korisna je ovdje jer tretira pristup resursima kao eksplicitnu odluku, a ne kao posljedicu mrežne lokacije.

Dogovorite oporavak i uklanjanje prije instalacije

Vlasnik bi trebao moći brzo onemogućiti pristup putem kontrole kojom sam upravlja, a ne putem poziva vama. Zapišite opoziv akreditiva, uklanjanje uređaja, odgovornost za ažuriranja i datum isteka ili revizije. Sačuvajte lokalnu stazu oporavka koja ne zavisi od novog daljinskog kanala. Uređaj koji niko ne može ukloniti bez dobavljača jest trajna zavisnost prerušena u pogodnost.

Vodite evidenciju srazmjerno: odobreni identiteti, obuhvat pristupa, značajne promjene i relevantni kvarovi.

Prikupljanje nepovezane historije pretraživanja da bi se dokazalo da uređaj postoji nije dokaz dobrog rada i stvara obavezu koju vlasnik nikada nije tražio.

Kako izgleda uspješno odobrenje

Prihvatite dizajn zajedno s vlasnikom s jednom dozvoljenom uslugom i jednim resursom koji mora ostati odbijen. Ta druga polovina je dio koji ljudi preskaču, i to je jedini dio koji dokazuje da granica stoji tamo gdje dijagram kaže. Testirajte opoziv na isti način, prije nego uređaj ponese stvarni posao. Ako odobrenje izostane, koristite klijentovu odobrenu alternativu ili obavite posao lokalno.

Veza koja radi nije dozvola da se stvori put pristupa.

Zapišite odobrenje s njegovim obuhvatom i rokom isteka, i predajte kopiju vlasniku. Sljedeća osoba koja dotakne tu mrežu čitaće evidenciju, a ne vaše sjećanje na razgovor.