Προτείνετε μια συσκευή απομακρυσμένης πρόσβασης που ο ιδιοκτήτης του δικτύου μπορεί να εγκρίνει

Μια συσκευή απομακρυσμένης πρόσβασης αλλάζει το όριο του δικτύου του πελάτη ακόμη και όταν καλεί προς τα έξω και δεν χρειάζεται καμία εισερχόμενη προώθηση θύρας. Η κατεύθυνση προς τα έξω είναι αυτή που την κάνει εύκολη στην εγκατάσταση και εύκολη στην παράβλεψη. Παρουσιάστε τη ως αίτημα σχεδιασμού πρόσβασης πριν μπει στο δίκτυο. Το να την παρουσιάσετε ως κάτι που δεν χρειαζόταν να αναφέρετε είναι ο τρόπος με τον οποίο μια τεχνική επιτυχία γίνεται συμβατικό πρόβλημα.

Υποθέστε ότι ο ιδιοκτήτης του δικτύου θα κάνει τέσσερις ερωτήσεις: τι, ποιος, πόσο μακριά και πώς το αναιρούμε.

Ζητήστε τον πόρο, όχι το υποδίκτυο

Περιγράψτε την εργασία με τους όρους που χρησιμοποιεί ο ιδιοκτήτης: ποιο άτομο χρειάζεται ποια υπηρεσία, σε ποια συσκευή και για πόσο χρόνο. Ένα αίτημα περιορισμένο σε μία εφαρμογή σε έναν κεντρικό υπολογιστή εγκρίνεται εύκολα. Ένα αίτημα για υποδίκτυο είναι αίτημα αναδιοργάνωσης της τμηματοποίησης κάποιου άλλου.

Ο πελάτης μπορεί να εκτελεί ήδη ένα εγκεκριμένο VPN, μια πύλη απομακρυσμένης επιφάνειας εργασίας ή ένα διαχειριζόμενο κανάλι υποστήριξης που καλύπτει την ανάγκη. Ελέγξτε το πρώτα, γιατί η επαναχρησιμοποίηση υπάρχουσας διαδρομής είναι συνήθως η φθηνότερη απάντηση και για τις δύο πλευρές. Αν δεν ταιριάζει, πείτε ακριβώς γιατί. Αυτή η σύγκριση είναι το ισχυρότερο μέρος της πρότασης.

Αν μια συσκευή είναι πραγματικά απαραίτητη, φέρτε τον ιδιοκτήτη της, την πηγή του λογισμικού, τη διαδικασία ενημέρωσης και το προβλεπόμενο σημείο εγκατάστασης.

Δείξτε τη σύνδεση και πού τελειώνει η εμπιστοσύνη

Σχεδιάστε τη συσκευή, τον απομακρυσμένο χρήστη, τυχόν μεσολαβητή ή αναμεταδότη και τον προστατευόμενο πόρο. Σημειώστε πού τελειώνει η κρυπτογράφηση και ποιος διαχειρίζεται κάθε άκρο. Μια εξερχόμενη συνεδρία εισάγει παρ' όλα αυτά μια νέα διαδρομή ελέγχου, και στο διάγραμμα γίνεται αυτό ορατό. Το να πείτε ότι η κίνηση είναι κρυπτογραφημένη απαντά σε ερώτηση εμπιστευτικότητας και σε καμία ερώτηση εξουσιοδότησης.

Δηλώστε τη λειτουργία ρητά: προώθηση πακέτων, διαμεσολαβητής εφαρμογών ή εκτεθειμένη επιφάνεια εργασίας. Κάθε μία έχει διαφορετικές συνέπειες για τη δρομολόγηση και την ασφάλεια του κεντρικού υπολογιστή, και κάθε μία αποτυγχάνει διαφορετικά όταν η συσκευή παραβιαστεί.

Κρατήστε άσχετα δίκτυα πελατών και τη δική της διαχειριστική διεπαφή της συσκευής έξω από το εγκεκριμένο πεδίο.

Διαχωρίστε την ταυτότητα χρήστη από την ταυτότητα συσκευής

Η εγγραφή χρηστών, η ταυτότητα συσκευής, ο έλεγχος ταυτότητας πολλαπλών παραγόντων και η σύνδεση στην εφαρμογή είναι τέσσερις διαφορετικοί έλεγχοι, και η πρόταση οφείλει να ονομάσει καθέναν. Τα κοινόχρηστα διαπιστευτήρια είναι η συνήθης συντόμευση, και αφήνουν τον ιδιοκτήτη ανίκανο να ανακαλέσει ένα άτομο χωρίς να διαταράξει όλους. Η σύνδεση πρέπει να μένει στην εφαρμογή. Η συσκευή πιστοποιεί μια σύνδεση· η υπηρεσία αποφασίζει τι επιτρέπεται να κάνει αυτή η σύνδεση.

Η αρχιτεκτονική μηδενικής εμπιστοσύνης του NIST είναι χρήσιμη εδώ γιατί αντιμετωπίζει την πρόσβαση σε πόρους ως ρητή απόφαση και όχι ως συνέπεια της θέσης στο δίκτυο.

Συμφωνήστε για την αποκατάσταση και την αφαίρεση πριν από την εγκατάσταση

Ο ιδιοκτήτης πρέπει να μπορεί να απενεργοποιήσει την πρόσβαση άμεσα μέσω ελέγχου που χειρίζεται ο ίδιος, όχι μέσω τηλεφωνήματος σε εσάς. Καταγράψτε την ανάκληση διαπιστευτηρίων, την αφαίρεση της συσκευής, την ευθύνη για τις ενημερώσεις και μια ημερομηνία λήξης ή αναθεώρησης. Διατηρήστε μια τοπική διαδρομή αποκατάστασης που δεν εξαρτάται από το νέο απομακρυσμένο κανάλι. Μια συσκευή που κανείς δεν μπορεί να αφαιρέσει χωρίς τον προμηθευτή είναι μόνιμη εξάρτηση μεταμφιεσμένη σε ευκολία.

Κρατήστε τα αρχεία αναλογικά: εγκεκριμένες ταυτότητες, εύρος πρόσβασης, σημαντικές αλλαγές και σχετικές αστοχίες.

Η συλλογή άσχετου ιστορικού περιήγησης για να αποδειχθεί ότι η συσκευή υπάρχει δεν είναι απόδειξη καλής λειτουργίας, και δημιουργεί υποχρέωση που ο ιδιοκτήτης δεν ζήτησε ποτέ.

Πώς μοιάζει μια επιτυχημένη έγκριση

Αποδεχτείτε τον σχεδιασμό μαζί με τον ιδιοκτήτη με μία επιτρεπόμενη υπηρεσία και έναν πόρο που πρέπει να παραμείνει απορριπτέος. Αυτό το δεύτερο μισό είναι το μέρος που οι άνθρωποι παραλείπουν, και είναι το μόνο μέρος που αποδεικνύει ότι το όριο βρίσκεται εκεί που λέει το διάγραμμα. Δοκιμάστε την ανάκληση με τον ίδιο τρόπο, πριν η συσκευή σηκώσει πραγματική εργασία. Αν η έγκριση δεν δοθεί, χρησιμοποιήστε την εγκεκριμένη εναλλακτική του πελάτη ή κάντε την εργασία τοπικά.

Μια σύνδεση που λειτουργεί δεν είναι άδεια για να δημιουργηθεί η διαδρομή πρόσβασης.

Καταγράψτε την έγκριση με το εύρος και τη λήξη της, και δώστε ένα αντίγραφο στον ιδιοκτήτη. Το επόμενο άτομο που θα αγγίξει αυτό το δίκτυο θα διαβάσει το αρχείο, όχι τη δική σας ανάμνηση της συζήτησης.