Přístup zákazníků přes VPN: dejte privilegované práci vlastní zařízení

Profil připojení říká Production, tunel se zvedne a každé okno na ploše teď dosáhne na zákaznické systémy. Nic v této posloupnosti neoddělilo privilegovanou relaci od sousední karty prohlížeče. Profil VPN je název plus sada tras; hranice, na které vám skutečně záleží, se skládá z identity zařízení, řízeného prostředí pro spouštění a cesty pro přihlašovací údaje. Ty tři věci se vynucují na různých místech, a proto přidání jedné a vynechání ostatních vytvoří návrh, který vypadá v souladu, ale není.

Název profilu není hranice

Klient při zvednutí tunelu použije trasy a konfiguraci DNS a vše, co na tom stroji potom běží, zdědí obojí.

Název v rozbalovací nabídce mění to, co operátor rozezná, ne to, co operační systém dovolí.

Identita zařízení je to, co brána může ověřit

Brána, která podporuje certifikáty zařízení nebo kontroly stavu, ověřuje stroj i osobu. To je vrstva, která dokáže odmítnout připojení z nespravovaného notebooku dřív, než někdo napíše heslo. Dává vám také něco konkrétního k odvolání, když se zařízení ztratí. Zkopírování jednoho certifikátu na tři stroje přesně tuto vlastnost odstraní, a proto životní cyklus certifikátu patří do dohody, ne do sdílené složky.

Zákazník rozhoduje, které z těchto kontrol jeho politika vyžaduje, a virtuální stroj postavený dodavatelem nemusí kontrolu stavu vůbec splnit.

Kde hranice virtuálního stroje prosakuje

Virtuální stroj drží nástroje zákazníka a stav sítě pohromadě, a to je opravdu užitečné. Závisí však také na svém hostiteli a na hypervizoru a několik vymožeností hranici překračuje: sdílené složky, integrace schránky, agenti pro přihlašovací údaje a správa na úrovni hostitele. Privilegovaný host na denně používaném hostiteli není samostatně důvěryhodný, protože hostitel může pozorovat, co host dělá. Berte virtuální stroj jako kontrolu, která snižuje expozici, ne jako samostatnou bezpečnostní doménu.

Vyhrazené fyzické zařízení odstraňuje závislost na hostiteli a místo ní přidává povinnost údržby.

Přihlašovací údaje a cesty přenosu

Používejte individuální, odvolatelné identity pro každého inženýra a každého zákazníka a držte je mimo osobních profilů prohlížeče a historie chatu. Údaje sdílené celým týmem nelze čistě připsat, rotovat ani odvolat. Rozhodněte o cestě přenosu nástrojů, souborů a diagnostického výstupu ještě před první relací, protože náhodné přenášení souborů je způsob, jakým hranice tiše přestane být hranicí. Pokud je třeba dosáhnout dvou zákazníků současně, nejprve si nechte schválit oddělení sítě a identity.

Nikdy nepropojujte dvě zákaznické sítě přes jednu pracovní stanici jen proto, že to to odpoledne bylo pohodlné.

Dohoda, která to dělá opakovatelným

Napište krátký záznam pro každého zákazníka a udržujte ho tam, kde ho najdou obě strany. Měl by uvádět schválené zařízení nebo vzdálené prostředí a kdo je udržuje, povolené identity, systémy a operace, k nimž se mohou dostat, cestu přenosu a obvyklý způsob, jak relace končí.

Pět řádků, které někdo zkontroluje, když člověk nastoupí nebo odejde, porazí politiku, kterou nikdo nedokáže použít:

• Schválené zařízení nebo vzdálené prostředí s určeným vlastníkem údržby.
• Individuální identity uživatele a zařízení povolené pro podporu.
• Systémy a operace, k nimž tyto identity mohou dosáhnout.
• Povolená cesta pro nástroje, soubory a diagnostický výstup.
• Proces ukončení relace a autorizovaná nouzová alternativa.

Nouzový přístup bez přenášení údajů

Když kontrola zablokuje naléhavou opravu, cestou je proces výjimky, ne druhý notebook se stejnými údaji. Schválená výjimka zaznamená, kdo ji povolil, co se zmírnilo a kdy skončí. Přesun údajů na denně používaný stroj mění hranici v nejhorší možný okamžik a obvykle to tak zůstane. Nouzová cesta si zaslouží zkoušku, dokud nic není rozbité.

Potom ukončete relaci tak, jak říká dohoda, a potvrďte, že přístup skutečně skončil.