Kundeadgang via VPN: giv privilegeret arbejde sin egen enhed

Forbindelsesprofilen siger Production, tunnelen kommer op, og hvert vindue på skrivebordet kan nu nå kundens systemer. Intet i den sekvens adskilte den privilegerede session fra browserfanen ved siden af. En VPN-profil er et navn plus et sæt ruter; den grænse, du faktisk bekymrer dig om, bygges af enhedsidentitet, et kontrolleret kørselsmiljø og en vej for legitimationsoplysninger. De tre håndhæves forskellige steder, og derfor giver det et design, der ser compliant ud og ikke er det, når man tilføjer én og springer de andre over.

Et profilnavn er ikke en grænse

Klienten anvender ruter og DNS-konfiguration, når tunnelen kommer op, og alt, hvad der derefter kører på den maskine, arver begge dele.

Et navn i en rulleliste ændrer, hvad en operatør genkender, ikke hvad styresystemet tillader.

Enhedsidentitet er det, gatewayen kan kontrollere

En gateway, der understøtter enhedscertifikater eller posture-checks, autentificerer både maskinen og personen. Det er det lag, der kan afvise en forbindelse fra en ikke-administreret bærbar, før nogen skriver en adgangskode. Det giver dig også noget konkret at tilbagekalde, når en enhed mistes. At kopiere ét certifikat til tre maskiner fjerner netop den egenskab, og derfor hører certifikatets livscyklus til i aftalen frem for i en delt mappe.

Kunden beslutter, hvilke af disse kontroller politikken kræver, og en virtuel maskine, som en leverandør har bygget, opfylder måske slet ikke en posture-check.

Hvor en VM-grænse lækker

En virtuel maskine holder kundens værktøjer og netværkstilstanden sammen, og det er virkelig nyttigt. Den afhænger også af sin vært og af hypervisoren, og flere bekvemmeligheder krydser grænsen: delte mapper, udklipsholderintegration, agenter for legitimationsoplysninger og administrationsadgang på værtsniveau. En privilegeret gæst på en vært til daglig brug er ikke uafhængigt pålidelig, fordi værten kan observere, hvad gæsten gør. Behandl VM’en som en kontrol, der reducerer eksponering, ikke som et separat sikkerhedsdomæne.

En dedikeret fysisk enhed fjerner værtsafhængigheden og tilføjer en vedligeholdelsesforpligtelse i stedet.

Legitimationsoplysninger og overførselsveje

Brug individuelle, tilbagekaldelige identiteter pr. ingeniør og pr. kunde, og hold dem ude af personlige browserprofiler og chathistorik. Legitimationsoplysninger, som et helt team deler, kan ikke tilskrives, roteres eller tilbagekaldes rent. Beslut overførselsvejen for værktøjer, filer og diagnostisk output før den første session, fordi ad hoc-flytning af filer er den måde, en grænse stille holder op med at være en grænse. Skal to kunder nås samtidig, så få først godkendt adskillelsen af netværk og identitet.

Bro aldrig to kundernetværk gennem én arbejdsstation, bare fordi det var bekvemt den eftermiddag.

Aftalen, der gør det gentageligt

Skriv en kort registrering pr. kunde og opbevar den, hvor begge parter kan finde den. Den bør navngive den godkendte enhed eller fjernmiljøet og hvem der vedligeholder det, de tilladte identiteter, de systemer og operationer, de må nå, overførselsvejen og den normale måde, en session slutter på.

Fem linjer, som nogen gennemgår, når en person starter eller stopper, slår en politik, som ingen kan anvende:

• Godkendt enhed eller fjernmiljø med en navngivet vedligeholdelsesejer.
• Individuelle bruger- og enhedsidentiteter, der er tilladt til support.
• Systemer og operationer, som disse identiteter må nå.
• Tilladt vej for værktøjer, filer og diagnostisk output.
• Proces for afslutning af session og et autoriseret nødalternativ.

Nødadgang uden at flytte legitimationsoplysninger

Når en kontrol blokerer en akut reparation, er undtagelsesprocessen vejen, ikke en ekstra bærbar med de samme legitimationsoplysninger. En godkendt undtagelse registrerer, hvem der autoriserede den, hvad der blev lempet, og hvornår den slutter. At flytte en legitimationsoplysning til en maskine til daglig brug ændrer grænsen på det værst tænkelige tidspunkt, og den forbliver som regel ændret bagefter. Nødvejen fortjener en prøve, mens intet er i stykker.

Afslut derefter sessionen, som aftalen siger, og bekræft, at adgangen faktisk stoppede.