Ein Gerät vom VPN aussperren, ohne das ganze Konto zu deaktivieren

Ein Mitarbeiter, zwei Laptops, und nur einer davon darf den Zugang verlieren. Das Konto zu deaktivieren ist der naheliegende Hebel, trifft aber den falschen Umfang, während das Löschen eines gespeicherten Profils auf dem Endpunkt ein Vorschlag und keine Kontrolle ist. Die Entscheidung läuft auf drei Bedingungen hinaus: ob es eine Geräteidentität gibt, die das VPN prüfen kann, ob genau diese Verbindung sie tatsächlich auswertet, und was mit dem Gerät statt mit der Person geschehen soll. Beantwortet man sie in dieser Reihenfolge, wählt sich die Durchsetzung meist selbst.

Erste Bedingung: gibt es Gerätenachweise, die das VPN prüfen kann?

Eine Quelladresse wird hinter dem Büro-NAT geteilt und ändert sich in Mobilfunknetzen. Ein Hostname ist das, was das Gerät behauptet, eine MAC-Adresse lässt sich mühelos fälschen, und ein Registrierungswert kann von allem mit lokalen Rechten geschrieben werden. Nichts davon ist eine Identität, bis etwas sie überprüft. Ein separat registriertes Gerätezertifikat, etwa ein für diesen Endpunkt ausgestelltes Zertifikat, ist die einzige Option, die einem Widerruf ein Ziel gibt, das enger ist als das Benutzerkonto.

Das Zertifikat zählt nur, wenn sich die Verbindung damit authentifiziert und die Kette bei jedem Versuch validiert. Eine Datei im Speicher des Rechners beweist nichts.

Zweite Bedingung: wertet diese Verbindung sie aus?

Endpunktattribute sind nicht universell. Auf einer ASA trennt Ciscos ASDM-DAP-Leitfaden Benutzer-AAA-Informationen von Endpunktbewertungsattributen, und welche Attribute verfügbar sind, hängt vom verwendeten Fernzugriffsprotokoll, den eingesetzten Posture-Werkzeugen und der Lizenz ab. Eine Registrierungsprüfung braucht den unterstützten Erfassungspfad, und selbst dann meldet sie, was das Endpunktwerkzeug gesehen hat, nicht dass der Rechner der ist, dem man vertraut.

Die praktische Frage ist also eng: Auf diesem Tunnel, mit diesem Client und diesem Posture-Agenten, welches Attribut kommt befüllt und vertrauenswürdig an? Lautet die Antwort keines, trifft eine dagegen geschriebene Richtlinie nichts oder alles, und beide Ergebnisse sind schlechter als die Kontosperre, die man vermeiden wollte.

Dritte Bedingung: Ablehnung, Behebung oder engerer Zugang?

Drei Ergebnisse stehen zur Verfügung, und sie sind nicht austauschbar. Man kann die Sitzung beenden, was den Zugang vollständig entfernt; man kann das Gerät in Quarantäne versetzen, in der es nur Behebungsressourcen erreicht; oder man kann die Sitzung bestehen lassen und ihre Ressourcen-ACL auf die wenigen Dinge zuschneiden, die das Gerät noch braucht. DAP-Sitzungsaktionen und Ressourcen-ACLs beantworten verschiedene Fragen, die Wahl betrifft also, wie viel Kollateralschaden die Person tragen soll.

Bei einem verlorenen oder gestohlenen Laptop ist die Antwort meist Beendigung. Bei einem Rechner, der eine Posture-Prüfung nicht bestanden hat, ist Behebung freundlicher und genauso wirksam.

Entscheiden, was passiert, wenn die Nachweise fehlen

Der Standardpfad zählt mehr als die Regel, die man für den guten Fall geschrieben hat. Kommt das erwartete Attribut nie an, weil der Posture-Agent defekt ist, kann eine Richtlinie, die es verlangt, auf einen Standard durchfallen, der die Sitzung zulässt. Den Standardausgang lesen und den Fall ohne Nachweis gezielt testen, denn genau diesen Zustand wird ein Angreifer vorführen, der den Agenten entfernt.

Mehrere passende DAP-Einträge werden aggregiert und nicht durch eine einfache First-Match-Reihenfolge aufgelöst, und ihre ACL-Priorität ist ein von der Eintragsauswahl getrennter Mechanismus. Die Beschreibung der Aggregation im Leitfaden lesen, bevor man annimmt, der strengere Eintrag gewinne.

Bestehende Sitzungen behandeln und dann beide Geräte testen

Eine Zulassungsregel zu ändern oder ein Zertifikat zu widerrufen beschreibt nicht, was mit einer bereits aufgebauten Sitzung geschieht, die Verkehr führt. Ist die sofortige Entfernung die Anforderung, folgt man dem von der Implementierung unterstützten Verfahren zur Sitzungsbeendigung und Neubewertung, statt auf die nächste Wiederverbindung zu warten. Das ist der Schritt, der bei einem Vorfall am häufigsten übersprungen wird, und er ist der Unterschied zwischen einer Richtlinie und einem Ergebnis.

Mit demselben zugelassenen Benutzer auf beiden Rechnern unter einer genehmigten Prüfung testen. Das gesperrte Gerät soll genau die beabsichtigte Ablehnung oder Behebung erhalten, das andere nur seine autorisierten Ressourcen behalten. Das prüft die Gerätegrenze, ohne den anderen genehmigten Zugang der Person zu widerrufen.

Lassen sich diese beiden Ergebnisse nicht unterscheiden, liegt das Problem in den Nachweisen und nicht in der Richtlinie, und kein Regel-Feintuning wird es beheben.