Kundenzugang per VPN: privilegierte Arbeit braucht ihr eigenes Gerät

Das Verbindungsprofil sagt Produktion, der Tunnel kommt hoch, und jedes Fenster auf dem Desktop erreicht nun die Systeme des Kunden. Nichts in dieser Abfolge hat die privilegierte Sitzung vom Browsertab daneben getrennt. Ein VPN-Profil ist ein Name plus eine Reihe von Routen; die Grenze, die Sie wirklich interessiert, entsteht aus Geräteidentität, einer kontrollierten Ausführungsumgebung und einem Pfad für Anmeldedaten. Diese drei werden an verschiedenen Stellen durchgesetzt, und deshalb ergibt das Hinzufügen des einen und das Auslassen der anderen ein Design, das konform aussieht und es nicht ist.

Ein Profilname ist keine Grenze

Der Client wendet Routen und DNS-Konfiguration an, wenn der Tunnel hochkommt, und alles, was danach auf dieser Maschine läuft, erbt beides.

Ein Name in einer Auswahlliste ändert, was ein Operator erkennt, nicht was das Betriebssystem zulässt.

Geräteidentität ist das, was das Gateway prüfen kann

Ein Gateway, das Gerätezertifikate oder Posture-Prüfungen unterstützt, authentifiziert die Maschine ebenso wie die Person. Diese Schicht kann eine Verbindung von einem nicht verwalteten Laptop ablehnen, bevor jemand ein Passwort eingibt. Sie gibt Ihnen außerdem etwas Konkretes zum Sperren, wenn ein Gerät verloren geht. Ein Zertifikat auf drei Maschinen zu kopieren, entfernt genau diese Eigenschaft, und deshalb gehört der Zertifikatslebenszyklus in die Vereinbarung statt in einen geteilten Ordner.

Der Kunde entscheidet, welche dieser Kontrollen seine Richtlinie verlangt, und eine vom Dienstleister gebaute virtuelle Maschine erfüllt eine Posture-Prüfung möglicherweise überhaupt nicht.

Wo eine VM-Grenze leckt

Eine virtuelle Maschine hält Kundenwerkzeuge und Netzwerkzustand zusammen, und das ist wirklich nützlich. Sie hängt aber auch von ihrem Host und vom Hypervisor ab, und mehrere Bequemlichkeiten überschreiten die Grenze: freigegebene Ordner, Zwischenablage-Integration, Agenten für Anmeldedaten und Verwaltungszugriff auf Host-Ebene. Ein privilegierter Gast auf einem täglich genutzten Host ist nicht eigenständig vertrauenswürdig, weil der Host beobachten kann, was der Gast tut. Behandeln Sie die VM als Kontrolle, die die Exposition verringert, nicht als eigene Sicherheitsdomäne.

Ein dediziertes physisches Gerät entfernt die Host-Abhängigkeit und fügt dafür eine Wartungspflicht hinzu.

Anmeldedaten und Übertragungswege

Verwenden Sie individuelle, widerrufbare Identitäten pro Ingenieur und pro Kunde und halten Sie sie aus persönlichen Browserprofilen und Chatverläufen heraus. Anmeldedaten, die ein ganzes Team teilt, lassen sich nicht sauber zuordnen, rotieren oder widerrufen. Legen Sie den Übertragungsweg für Werkzeuge, Dateien und Diagnoseausgaben vor der ersten Sitzung fest, denn ad hoc verschobene Dateien sind der Weg, auf dem eine Grenze still aufhört, eine zu sein. Müssen zwei Kunden gleichzeitig erreicht werden, lassen Sie zuerst die Trennung von Netz und Identität genehmigen.

Verbinden Sie niemals zwei Kundennetze über eine Workstation, nur weil es an jenem Nachmittag bequem war.

Die Vereinbarung, die es wiederholbar macht

Schreiben Sie pro Kunde eine kurze Aufzeichnung und halten Sie sie dort, wo beide Seiten sie finden. Sie sollte das freigegebene Gerät oder die entfernte Umgebung und deren Wartungsverantwortlichen nennen, die erlaubten Identitäten, die Systeme und Vorgänge, die sie erreichen dürfen, den Übertragungsweg und die normale Art, wie eine Sitzung endet.

Fünf Zeilen, die jemand prüft, wenn eine Person kommt oder geht, schlagen eine Richtlinie, die niemand anwenden kann:

• Freigegebenes Gerät oder entfernte Umgebung mit benanntem Wartungsverantwortlichen.
• Individuelle Benutzer- und Geräteidentitäten, die für den Support erlaubt sind.
• Systeme und Vorgänge, die diese Identitäten erreichen dürfen.
• Erlaubter Weg für Werkzeuge, Dateien und Diagnoseausgaben.
• Ablauf zum Beenden der Sitzung und eine autorisierte Notfallalternative.

Notfallzugang ohne bewegte Anmeldedaten

Wenn eine Kontrolle eine dringende Reparatur blockiert, ist der Ausnahmeprozess der Weg, nicht ein zweiter Laptop mit denselben Anmeldedaten. Eine genehmigte Ausnahme hält fest, wer sie autorisiert hat, was gelockert wurde und wann sie endet. Anmeldedaten auf eine täglich genutzte Maschine zu verschieben, ändert die Grenze im schlechtestmöglichen Moment, und danach bleibt sie meist geändert. Der Notfallweg verdient eine Übung, solange nichts kaputt ist.

Beenden Sie dann die Sitzung so, wie es die Vereinbarung sagt, und bestätigen Sie, dass der Zugang tatsächlich aufgehört hat.