Bloker én enhed fra VPN uden at deaktivere hele kontoen

Én medarbejder, to bærbare computere, og kun én af dem skal miste adgangen. At deaktivere kontoen er den oplagte håndtag, men den straffer det forkerte omfang, mens sletning af en gemt profil på endepunktet er et forslag snarere end en kontrol. Beslutningen kommer ned til tre betingelser: om der findes en enhedsidentitet, som VPN'en kan verificere, om netop denne forbindelse faktisk evaluerer den, og hvad du vil have, der skal ske med enheden i stedet for med personen. Svar på dem i den rækkefølge, og håndhævelsen vælger som regel sig selv.

Første betingelse: findes der enhedsbeviser, som VPN'en kan verificere?

En kildeadresse deles bag kontorets NAT og ændres på mobilnetværk. Et værtsnavn er hvad som helst, enheden påstår, en MAC-adresse forfalskes trivielt, og en registerværdi kan skrives af alt med lokale rettigheder. Ingen af disse er en identitet, før noget verificerer den. En separat registreret enhedslegitimation, såsom et certifikat udstedt til det endepunkt, er den eneste mulighed, der giver tilbagekaldelse et mål, der er snævrere end brugerkontoen.

Legitimationen tæller kun, hvis forbindelsen autentificerer med den og validerer kæden ved hvert forsøg. En fil, der ligger i maskinens lager, beviser intet.

Anden betingelse: evaluerer denne forbindelse den?

Endepunktsattributter er ikke universelle. På en ASA adskiller Ciscos ASDM DAP-vejledning bruger-AAA-oplysninger fra endepunktsvurderingsattributter, og hvilke attributter der er tilgængelige, afhænger af den anvendte fjernadgangsprotokol, det udrullede posture-værktøj og licensen. En registerkontrol kræver den understøttede indsamlingsvej, og selv da rapporterer den, hvad endepunktsværktøjet så, ikke at maskinen er den, du stoler på.

Så det praktiske spørgsmål er snævert: på denne tunnel, med denne klient og denne posture-agent, hvilken attribut ankommer udfyldt og troværdig? Hvis svaret er ingen, vil en politik skrevet imod den matche intet eller alt, og begge udfald er værre end den kontolås, du undgik.

Tredje betingelse: afvisning, afhjælpning eller snævrere adgang?

Tre udfald er tilgængelige, og de kan ikke udskiftes. Du kan afslutte sessionen, hvilket fjerner adgangen helt; du kan sætte enheden i karantæne i en tilstand, hvor den kun kan nå afhjælpningsressourcer; eller du kan lade sessionen stå og skære dens ressource-ACL ned til de få ting, som enheden stadig har brug for. DAP-sessionshandlinger og ressource-ACL'er besvarer forskellige spørgsmål, så valget handler om, hvor meget følgeskade personen skal absorbere.

For en mistet eller stjålet bærbar computer er svaret normalt afslutning. For en maskine, der dumpede en posture-kontrol, er afhjælpning venligere og lige så effektiv.

Beslut, hvad der sker, når beviserne mangler

Standardvejen betyder mere end den regel, du skrev til det gode tilfælde. Hvis den forventede attribut aldrig ankommer, fordi posture-agenten er i stykker, kan en politik, der kræver den, falde igennem til en standard, der lukker sessionen ind. Læs standardresultatet, og test tilfældet uden beviser bevidst, for det er den tilstand, en angriber, der fjerner agenten, vil fremvise.

Flere matchende DAP-poster aggregeres i stedet for at blive afgjort af simpel første-match-rækkefølge, og deres ACL-prioritet er en separat mekanisme fra postvalget. Læs vejledningens beskrivelse af aggregering, før du antager, at den strengere post vinder.

Håndtér sessioner, der allerede findes, og test derefter begge enheder

Ændring af en adgangsregel eller tilbagekaldelse af en legitimation beskriver ikke, hvad der sker med en session, der allerede er etableret og sender trafik. Hvis øjeblikkelig fjernelse er kravet, følg implementeringens understøttede procedure for sessionsafslutning og revurdering i stedet for at vente på den næste genopkobling. Det er det trin, der oftest springes over under en hændelse, og det er forskellen mellem en politik og et udfald.

Test med den samme tilladte bruger på begge maskiner under en godkendt kontrol. Den blokerede enhed bør modtage præcis den tilsigtede afvisning eller afhjælpning, og den anden bør kun beholde sine autoriserede ressourcer. Det verificerer enhedsgrænsen uden at tilbagekalde personens anden godkendte adgang.

Hvis du ikke kan få de to resultater til at afvige, er problemet beviserne, ikke politikken, og ingen mængde regeltuning vil rette det.