Πρόσβαση πελατών μέσω VPN: δώστε στην προνομιακή εργασία τη δική της συσκευή

Το προφίλ σύνδεσης λέει Production, η σήραγγα ανεβαίνει και κάθε παράθυρο στην επιφάνεια εργασίας μπορεί πλέον να φτάσει στα συστήματα του πελάτη. Τίποτα σε αυτή την ακολουθία δεν χώρισε την προνομιακή συνεδρία από την καρτέλα του προγράμματος περιήγησης δίπλα της. Ένα προφίλ VPN είναι ένα όνομα συν ένα σύνολο διαδρομών· το όριο που πραγματικά σας ενδιαφέρει χτίζεται από την ταυτότητα της συσκευής, ένα ελεγχόμενο περιβάλλον εκτέλεσης και μια διαδρομή διαπιστευτηρίων. Αυτά τα τρία επιβάλλονται σε διαφορετικά σημεία, γι’ αυτό η προσθήκη του ενός και η παράλειψη των άλλων παράγει ένα σχέδιο που φαίνεται συμμορφούμενο και δεν είναι.

Ένα όνομα προφίλ δεν είναι όριο

Ο πελάτης εφαρμόζει διαδρομές και ρύθμιση DNS όταν ανεβαίνει η σήραγγα, και ό,τι τρέχει μετά σε αυτό το μηχάνημα κληρονομεί και τα δύο.

Ένα όνομα σε αναπτυσσόμενη λίστα αλλάζει τι αναγνωρίζει ένας χειριστής, όχι τι επιτρέπει το λειτουργικό σύστημα.

Η ταυτότητα της συσκευής είναι αυτό που μπορεί να ελέγξει η πύλη

Μια πύλη που υποστηρίζει πιστοποιητικά συσκευής ή ελέγχους κατάστασης πιστοποιεί και το μηχάνημα και το πρόσωπο. Αυτό είναι το επίπεδο που μπορεί να αρνηθεί σύνδεση από μη διαχειριζόμενο φορητό υπολογιστή προτού πληκτρολογήσει κανείς κωδικό. Σας δίνει επίσης κάτι συγκεκριμένο για ανάκληση όταν χαθεί μια συσκευή. Η αντιγραφή ενός πιστοποιητικού σε τρία μηχανήματα αφαιρεί ακριβώς αυτή την ιδιότητα, γι’ αυτό ο κύκλος ζωής του πιστοποιητικού ανήκει στη συμφωνία και όχι σε κοινόχρηστο φάκελο.

Ο πελάτης αποφασίζει ποιοι από αυτούς τους ελέγχους απαιτούνται από την πολιτική του, και μια εικονική μηχανή που έφτιαξε προμηθευτής μπορεί να μην ικανοποιεί καθόλου έναν έλεγχο κατάστασης.

Πού διαρρέει το όριο μιας εικονικής μηχανής

Μια εικονική μηχανή κρατά τα εργαλεία του πελάτη και την κατάσταση του δικτύου μαζί, και αυτό είναι πραγματικά χρήσιμο. Εξαρτάται όμως και από τον κεντρικό υπολογιστή της και από τον υπερεπόπτη, και αρκετές ευκολίες περνούν τη γραμμή: κοινόχρηστοι φάκελοι, ενσωμάτωση προχείρου, πράκτορες διαπιστευτηρίων και διαχειριστική πρόσβαση σε επίπεδο κεντρικού υπολογιστή. Ένας προνομιακός επισκέπτης σε κεντρικό υπολογιστή καθημερινής χρήσης δεν είναι ανεξάρτητα αξιόπιστος, επειδή ο κεντρικός υπολογιστής μπορεί να παρατηρήσει τι κάνει ο επισκέπτης. Αντιμετωπίστε την εικονική μηχανή ως έλεγχο που μειώνει την έκθεση, όχι ως ξεχωριστό τομέα ασφάλειας.

Μια αποκλειστική φυσική συσκευή αφαιρεί την εξάρτηση από τον κεντρικό υπολογιστή και προσθέτει στη θέση της υποχρέωση συντήρησης.

Διαπιστευτήρια και διαδρομές μεταφοράς

Χρησιμοποιήστε ατομικές, ανακλητές ταυτότητες ανά μηχανικό και ανά πελάτη, και κρατήστε τις έξω από προσωπικά προφίλ περιήγησης και ιστορικό συνομιλιών. Διαπιστευτήρια που μοιράζεται ολόκληρη η ομάδα δεν μπορούν να αποδοθούν, να περιστραφούν ή να ανακληθούν καθαρά. Αποφασίστε τη διαδρομή μεταφοράς για εργαλεία, αρχεία και διαγνωστική έξοδο πριν από την πρώτη συνεδρία, επειδή η αυτοσχέδια μετακίνηση αρχείων είναι ο τρόπος με τον οποίο ένα όριο παύει ήσυχα να είναι όριο. Αν πρέπει να προσεγγιστούν δύο πελάτες ταυτόχρονα, εξασφαλίστε πρώτα την έγκριση για τον διαχωρισμό δικτύου και ταυτότητας.

Μη γεφυρώνετε ποτέ δύο δίκτυα πελατών μέσω ενός σταθμού εργασίας μόνο και μόνο επειδή ήταν βολικό εκείνο το απόγευμα.

Η συμφωνία που το κάνει επαναλήψιμο

Γράψτε ένα σύντομο αρχείο ανά πελάτη και κρατήστε το εκεί που μπορούν να το βρουν και οι δύο πλευρές. Πρέπει να ονομάζει την εγκεκριμένη συσκευή ή το απομακρυσμένο περιβάλλον και ποιος το συντηρεί, τις επιτρεπόμενες ταυτότητες, τα συστήματα και τις εργασίες στις οποίες μπορούν να φτάσουν, τη διαδρομή μεταφοράς και τον συνήθη τρόπο με τον οποίο τελειώνει μια συνεδρία.

Πέντε γραμμές που κάποιος ελέγχει όταν ένα άτομο έρχεται ή φεύγει νικούν μια πολιτική που κανείς δεν μπορεί να εφαρμόσει:

• Εγκεκριμένη συσκευή ή απομακρυσμένο περιβάλλον, με ονομαστικό υπεύθυνο συντήρησης.
• Ατομικές ταυτότητες χρήστη και συσκευής που επιτρέπονται για υποστήριξη.
• Συστήματα και εργασίες στις οποίες μπορούν να φτάσουν αυτές οι ταυτότητες.
• Επιτρεπόμενη διαδρομή για εργαλεία, αρχεία και διαγνωστική έξοδο.
• Διαδικασία τερματισμού συνεδρίας και εξουσιοδοτημένη εναλλακτική έκτακτης ανάγκης.

Πρόσβαση έκτακτης ανάγκης χωρίς μετακίνηση διαπιστευτηρίων

Όταν ένας έλεγχος μπλοκάρει μια επείγουσα επισκευή, η διαδρομή είναι η διαδικασία εξαίρεσης, όχι ένα δεύτερο φορητό με τα ίδια διαπιστευτήρια. Μια εγκεκριμένη εξαίρεση καταγράφει ποιος την εξουσιοδότησε, τι χαλαρώθηκε και πότε τελειώνει. Η μετακίνηση ενός διαπιστευτηρίου σε μηχάνημα καθημερινής χρήσης αλλάζει το όριο στην χειρότερη δυνατή στιγμή, και συνήθως μένει αλλαγμένο μετά. Η διαδρομή έκτακτης ανάγκης αξίζει μια πρόβα όσο τίποτα δεν είναι χαλασμένο.

Έπειτα τερματίστε τη συνεδρία όπως λέει η συμφωνία και επιβεβαιώστε ότι η πρόσβαση σταμάτησε πραγματικά.