Bloqueja un sol dispositiu de la VPN sense desactivar tot el compte

Un empleat, dos portàtils i només un d'ells ha de perdre l'accés. Desactivar el compte és la palanca òbvia, però castiga l'abast equivocat, mentre que esborrar un perfil desat a l'extrem és un suggeriment i no un control. La decisió es redueix a tres condicions: si existeix una identitat de dispositiu que la VPN pugui verificar, si aquesta connexió concreta l'avalua realment i què voleu que passi al dispositiu en lloc de a la persona. Responeu-les en aquest ordre i l'aplicació normalment es tria sola.

Primera condició: hi ha evidència del dispositiu que la VPN pugui verificar?

L'adreça d'origen es comparteix darrere del NAT de l'oficina i canvia a les xarxes mòbils. El nom d'amfitrió és el que el dispositiu afirma, una adreça MAC es falsifica trivialment i un valor del registre el pot escriure qualsevol cosa amb drets locals. Cap d'aquests no és una identitat fins que alguna cosa la verifica. Una credencial de dispositiu inscrita per separat, com un certificat emès per a aquest extrem, és l'única opció que dóna a la revocació un objectiu més estret que el compte d'usuari.

La credencial només compta si la connexió s'autentica amb ella i valida la cadena a cada intent. Un fitxer que descansa a l'emmagatzematge de la màquina no demostra res.

Segona condició: aquesta connexió l'avalua?

Els atributs de l'extrem no són universals. En un ASA, la guia ASDM DAP de Cisco separa la informació AAA de l'usuari dels atributs d'avaluació de l'extrem, i quins atributs estan disponibles depèn del protocol d'accés remot en ús, de les eines de postura desplegades i de la llicència. Una comprovació del registre necessita el camí de recollida admès i, fins i tot llavors, informa del que va veure l'eina de l'extrem, no que la màquina sigui la que vosaltres confieu.

Així, la pregunta pràctica és estreta: en aquest túnel, amb aquest client i aquest agent de postura, quin atribut arriba ple i fiable? Si la resposta és cap, una política escrita contra ell coincidirà amb res o amb tot, i tots dos resultats són pitjors que el bloqueig del compte que evitaveu.

Tercera condició: rebuig, remediació o accés més estret?

Hi ha tres resultats disponibles i no són intercanviables. Podeu acabar la sessió, cosa que elimina l'accés del tot; podeu posar el dispositiu en quarantena en un estat en què només arribi a recursos de remediació; o podeu deixar la sessió oberta i retallar la seva ACL de recursos a les poques coses que aquest dispositiu encara necessita. Les accions de sessió DAP i les ACL de recursos responen preguntes diferents, així que l'elecció tracta de quant dany col·lateral ha d'absorbir la persona.

Per a un portàtil perdut o robat la resposta sol ser l'acabament. Per a una màquina que no ha passat una comprovació de postura, la remediació és més amable i igual d'efectiva.

Decidiu què passa quan falta l'evidència

El camí per defecte importa més que la regla que vau escriure per al bon cas. Si l'atribut esperat no arriba mai perquè l'agent de postura està trencat, una política que el requereix pot caure en un defecte que admet la sessió. Llegiu el resultat per defecte i proveu deliberadament el cas sense evidència, perquè aquest és l'estat que presentarà un atacant que elimini l'agent.

Diversos registres DAP coincidents s'agreguen en lloc de resoldre's per un simple ordre de primera coincidència, i la seva prioritat d'ACL és un mecanisme separat de la selecció de registre. Llegiu la descripció d'agregació de la guia abans de suposar que guanya el registre més estricte.

Gestiona les sessions que ja existeixen i després prova els dos dispositius

Canviar una regla d'admissió o revocar una credencial no descriu què passa amb una sessió ja establerta que cursa trànsit. Si cal una eliminació immediata, seguiu el procediment de terminació i reavaluació de sessió admès per la implementació en lloc d'esperar la propera reconnexió. Aquest és el pas que més sovint s'omet durant un incident, i és la diferència entre una política i un resultat.

Proveu amb el mateix usuari permès a les dues màquines sota una comprovació aprovada. El dispositiu bloquejat ha de rebre exactament la denegació o el resultat de remediació previstos, i l'altre ha de conservar només els seus recursos autoritzats. Això verifica la frontera del dispositiu sense revocar l'altre accés aprovat de la persona.

Si no podeu fer que aquests dos resultats difereixin, el problema és l'evidència, no la política, i cap ajust de regles ho arreglarà.