Αποκλεισμός μίας συσκευής από το VPN χωρίς απενεργοποίηση ολόκληρου του λογαριασμού

Ένας υπάλληλος, δύο φορητοί υπολογιστές και μόνο ένας από αυτούς πρέπει να χάσει την πρόσβαση. Η απενεργοποίηση του λογαριασμού είναι ο προφανής μοχλός, αλλά τιμωρεί το λάθος εύρος, ενώ η διαγραφή ενός αποθηκευμένου προφίλ στο τελικό σημείο είναι πρόταση και όχι έλεγχος. Η απόφαση καταλήγει σε τρεις συνθήκες: αν υπάρχει ταυτότητα συσκευής που το VPN μπορεί να επαληθεύσει, αν αυτή η συγκεκριμένη σύνδεση την αξιολογεί πράγματι και τι θέλετε να συμβεί στη συσκευή αντί στο πρόσωπο. Απαντήστε με αυτή τη σειρά και η επιβολή συνήθως επιλέγει μόνη της.

Πρώτη συνθήκη: υπάρχουν στοιχεία συσκευής που το VPN μπορεί να επαληθεύσει;

Η διεύθυνση προέλευσης μοιράζεται πίσω από το NAT του γραφείου και αλλάζει στα κινητά δίκτυα. Το όνομα κεντρικού υπολογιστή είναι ό,τι ισχυρίζεται η συσκευή, μια διεύθυνση MAC πλαστογραφείται εύκολα και μια τιμή μητρώου μπορεί να γραφτεί από οτιδήποτε έχει τοπικά δικαιώματα. Κανένα από αυτά δεν είναι ταυτότητα μέχρι κάτι να το επαληθεύσει. Ένα ξεχωριστά εγγεγραμμένο διαπιστευτήριο συσκευής, όπως ένα πιστοποιητικό που εκδόθηκε σε αυτό το τελικό σημείο, είναι η μόνη επιλογή που δίνει στην ανάκληση στόχο στενότερο από τον λογαριασμό χρήστη.

Το διαπιστευτήριο μετράει μόνο αν η σύνδεση ταυτοποιείται με αυτό και επικυρώνει την αλυσίδα σε κάθε απόπειρα. Ένα αρχείο που βρίσκεται στην αποθήκη του μηχανήματος δεν αποδεικνύει τίποτα.

Δεύτερη συνθήκη: την αξιολογεί αυτή η σύνδεση;

Τα χαρακτηριστικά τελικού σημείου δεν είναι καθολικά. Σε ένα ASA, ο οδηγός ASDM DAP της Cisco διαχωρίζει τις πληροφορίες AAA του χρήστη από τα χαρακτηριστικά αξιολόγησης τελικού σημείου, και ποια χαρακτηριστικά είναι διαθέσιμα εξαρτάται από το πρωτόκολλο απομακρυσμένης πρόσβασης, τα εργαλεία posture που έχουν αναπτυχθεί και την άδεια. Ο έλεγχος μητρώου χρειάζεται την υποστηριζόμενη διαδρομή συλλογής, και ακόμη και τότε αναφέρει τι είδε το εργαλείο τελικού σημείου, όχι ότι το μηχάνημα είναι αυτό που εμπιστεύεστε.

Άρα το πρακτικό ερώτημα είναι στενό: σε αυτή τη σήραγγα, με αυτόν τον πελάτη και αυτόν τον πράκτορα posture, ποιο χαρακτηριστικό φτάνει συμπληρωμένο και αξιόπιστο; Αν η απάντηση είναι κανένα, μια πολιτική γραμμένη εναντίον του θα ταιριάζει με τίποτα ή με τα πάντα, και τα δύο αποτελέσματα είναι χειρότερα από το κλείδωμα λογαριασμού που αποφεύγατε.

Τρίτη συνθήκη: απόρριψη, αποκατάσταση ή στενότερη πρόσβαση;

Τρία αποτελέσματα είναι διαθέσιμα και δεν είναι ανταλλάξιμα. Μπορείτε να τερματίσετε τη συνεδρία, που αφαιρεί την πρόσβαση εντελώς· μπορείτε να θέσετε τη συσκευή σε καραντίνα σε κατάσταση όπου φτάνει μόνο σε πόρους αποκατάστασης· ή μπορείτε να αφήσετε τη συνεδρία και να κόψετε το ACL πόρων της στα λίγα πράγματα που η συσκευή χρειάζεται ακόμη. Οι ενέργειες συνεδρίας DAP και τα ACL πόρων απαντούν σε διαφορετικά ερωτήματα, οπότε η επιλογή αφορά το πόση παράπλευρη ζημιά πρέπει να απορροφήσει το πρόσωπο.

Για έναν χαμένο ή κλεμμένο φορητό, η απάντηση είναι συνήθως ο τερματισμός. Για ένα μηχάνημα που απέτυχε σε έλεγχο posture, η αποκατάσταση είναι πιο επιεικής και εξίσου αποτελεσματική.

Αποφασίστε τι συμβαίνει όταν λείπουν τα στοιχεία

Η προεπιλεγμένη διαδρομή μετράει περισσότερο από τον κανόνα που γράψατε για την καλή περίπτωση. Αν το αναμενόμενο χαρακτηριστικό δεν φτάσει ποτέ επειδή ο πράκτορας posture είναι χαλασμένος, μια πολιτική που το απαιτεί μπορεί να πέσει σε προεπιλογή που δέχεται τη συνεδρία. Διαβάστε το προεπιλεγμένο αποτέλεσμα και δοκιμάστε σκόπιμα την περίπτωση χωρίς στοιχεία, γιατί αυτή είναι η κατάσταση που θα παρουσιάσει ένας επιτιθέμενος που αφαιρεί τον πράκτορα.

Πολλαπλές εγγραφές DAP που ταιριάζουν συναθροίζονται και δεν επιλύονται με απλή σειρά πρώτης αντιστοίχισης, και η προτεραιότητα ACL τους είναι ξεχωριστός μηχανισμός από την επιλογή εγγραφής. Διαβάστε την περιγραφή συναθροίσεως στον οδηγό πριν υποθέσετε ότι κερδίζει η αυστηρότερη εγγραφή.

Χειριστείτε συνεδρίες που υπάρχουν ήδη και μετά δοκιμάστε και τις δύο συσκευές

Η αλλαγή κανόνα εισδοχής ή η ανάκληση διαπιστευτηρίου δεν περιγράφει τι συμβαίνει σε μια συνεδρία που έχει ήδη εδραιωθεί και μεταφέρει κίνηση. Αν απαιτείται άμεση αφαίρεση, ακολουθήστε τη διαδικασία τερματισμού και επαναξιολόγησης συνεδρίας που υποστηρίζει η υλοποίηση αντί να περιμένετε την επόμενη επανασύνδεση. Αυτό είναι το βήμα που παραλείπεται συχνότερα κατά τη διάρκεια ενός περιστατικού και είναι η διαφορά μεταξύ πολιτικής και αποτελέσματος.

Δοκιμάστε με τον ίδιο επιτρεπόμενο χρήστη και στους δύο υπολογιστές υπό εγκεκριμένο έλεγχο. Η αποκλεισμένη συσκευή πρέπει να λάβει ακριβώς την προβλεπόμενη άρνηση ή το αποτέλεσμα αποκατάστασης, και η άλλη να κρατήσει μόνο τους εξουσιοδοτημένους πόρους της. Αυτό επαληθεύει το όριο συσκευής χωρίς να ανακαλέσει την άλλη εγκεκριμένη πρόσβαση του προσώπου.

Αν δεν μπορείτε να κάνετε αυτά τα δύο αποτελέσματα διαφορετικά, το πρόβλημα είναι τα στοιχεία, όχι η πολιτική, και καμία ρύθμιση κανόνων δεν θα το διορθώσει.