Always-on VPN: cesta, oprávnění a relace odděleně

Držet tunel otevřený nepřetržitě je návrhové rozhodnutí, které má rozumnou i nedbalou variantu. Pobočka, která celý den potřebuje centrální aplikaci a k tomu noční úlohu zálohování, má důvod. Notebook ponechaný tři dny připojený v hotelovém pokoji je nehoda.

Oba ukazují stejnou zelenou ikonu a oba odpovídají stejně, když se zeptáte, jak dlouho je tunel otevřený. To číslo není to zajímavé. Důležité je, co spojení drží dostupné, komu a co ho skutečně ukončí.

Troje hodiny, které běží odděleně

První stav je cesta. Tunel a jeho zásady zpřístupňují sadu služeb a spojení bez provozu může zůstat připravené na další požadavek. Jak dlouho zůstane připravené, je rozhodnutí implementace, ne univerzální časovač.

Druhý stav je oprávnění. Přijatá identita nebo zařízení může být oprávněno tuto cestu používat. Toto oprávnění by se mělo měnit při změně role, zmizení zařízení nebo podezření na kompromitaci a je nezávislé na tom, zda proudí pakety.

Třetí stav je vlastní relace aplikace. Klient databáze, vzdálená plocha nebo webová aplikace se ověřují odděleně a drží si vlastní stav. Zavření tunelu nutně neukončí žádnou z nich.

Revize, která tyto tři bere jako jednu otázku, skončí hádkou o časovačích nečinnosti. Každý z nich může být sám o sobě zdravý nebo rozbitý a nález v jednom říká o ostatních málo. Kontrolní seznam o třech řádcích je lepší než debata o jedné hodnotě čekání. Napište odpověď pro každý stav zvlášť.

Tunel je cesta, ne odznak

Navázaný tunel je dokladem, že mezi dvěma konci existuje chráněná cesta. Není dokladem toho, že každý proces za kterýmkoli koncem musí dosáhnout každé služby na druhé straně.

Pokyny NIST k nulové důvěře říkají totéž z opačné strany: umístění v síti se nemá brát jako implicitní důvěra. Propojení lokality je dopravní fakt a oprávnění jednoho hostitele používat jednu aplikaci je samostatné rozhodnutí s vlastním vlastníkem.

Kompromitovaný protějšek může zkoušet škodlivé akce přes služby, kam smí. Filtrování a monitorování snižují konkrétní rizika, ale nemazají následky kompromitace koncového bodu. Navrhujte pro cestu a autorizujte pro službu.

Odůvodnění trvalého propojení lokality

Obhajitelná verze trvalého režimu pojmenovává účel přesně. Které zdroje, které cíle, kterým směrem a kdo vlastní každý záznam. Pobočkový firewall, který každému hostiteli pobočky povoluje každou centrální podsíť, nedržel spojení pro pojmenovaný účel; držel je pro cokoli, co někoho napadne později.

Kde protějšek nemůže dosáhnout požadované úrovně důvěry, zúžte hranici nebo změňte uspořádání. Spoléhat na občasné ruční odpojení je procesní kontrola a procesní kontroly jsou nejméně spolehlivé právě tehdy, když je incident udělá nepohodlnými.

Uchovávejte odůvodnění u konfigurace. Trvalá výjimka s psaným účelem se dá přezkoumat a zrušit. Bez účelu se stává trvalou automaticky.

Výměna klíčů není odvolání

Výměna klíčů podle plánu udržuje životní cyklus ochrany. Obnovuje materiál a zachovává důvěrnost. Neodebírá však koncovému bodu jeho nárok.

Pokud koncový bod stále má platné přihlašovací údaje a zásadu přístupu, která ho přijímá, další vyjednávání obnoví stejnou povolenou cestu. Proto hodinová rotace klíčů není odpovědí na ztracené zařízení: ztracené zařízení rotuje také, dokud je jeho identita důvěryhodná. Zkontrolujte nárok dřív než plán. Rotace je hygiena a odvolání je rozhodnutí o přístupu.

Odvolání je jiný mechanismus s vlastní latencí: odvolaný certifikát, vypnutý účet, změněná skupina, odebrané síťové pravidlo. Každé působí v jiném okamžiku a chová se jinak k již navázaným relacím.

Ukončení toho, co už běží

Zeptejte se, co implementace dělá s navázanými relacemi, když se přístup odebere. Může je ukončit, čekat na vypršení nebo použít nějaké dokumentované chování mezi tím. Nepředpokládejte, že zítřejší změna přijetí zavře dnešní spojení aplikace.

U interaktivního přístupu dejte limity relací a pravidla nečinnosti do rukou vlastníků identity a VPN, ne jen síťového týmu. U služby lokality stanovte postup, kterým údržba, výpadek nebo bezpečnostní incident vypíná přístup.

Pak otestujte tři výsledky: povolená práce stále funguje, nesouvisející služba je odmítnuta a postup odstranění dává dokumentovaný výsledek. Návrh trvalého režimu je přijatelný, když jsou jeho účel, autorizace a schopnost vypnutí zapsané a procvičené. Jinak je to pohodlí, které přežilo svůj důvod.