Bloquear un solo dispositivo de la VPN sin desactivar toda la cuenta

Un empleado, dos portátiles y solo uno de ellos debe perder el acceso. Desactivar la cuenta es la palanca obvia, pero castiga el alcance equivocado, mientras que borrar un perfil guardado en el extremo es una sugerencia y no un control. La decisión se reduce a tres condiciones: si existe una identidad de dispositivo que la VPN pueda verificar, si esta conexión concreta la evalúa de verdad y qué quiere que ocurra con el dispositivo en lugar de con la persona. Respóndalas en ese orden y la aplicación suele elegirse sola.

Primera condición: ¿hay pruebas del dispositivo que la VPN pueda verificar?

Una dirección de origen se comparte detrás del NAT de la oficina y cambia en las redes móviles. Un nombre de host es lo que el dispositivo afirma, una dirección MAC se falsifica con trivialidad y un valor del registro lo puede escribir cualquier cosa con derechos locales. Ninguno de ellos es una identidad hasta que algo lo verifica. Una credencial de dispositivo inscrita por separado, como un certificado emitido para ese extremo, es la única opción que da a la revocación un objetivo más estrecho que la cuenta de usuario.

La credencial solo cuenta si la conexión se autentica con ella y valida la cadena en cada intento. Un archivo que descansa en el almacén de la máquina no demuestra nada.

Segunda condición: ¿la evalúa esta conexión?

Los atributos del extremo no son universales. En un ASA, la guía ASDM DAP de Cisco separa la información AAA del usuario de los atributos de evaluación del extremo, y qué atributos están disponibles depende del protocolo de acceso remoto en uso, de las herramientas de postura desplegadas y de la licencia. Una comprobación del registro necesita la ruta de recogida admitida y, aun así, informa de lo que vio la herramienta del extremo, no de que la máquina sea la que usted confía.

Así que la pregunta práctica es estrecha: en este túnel, con este cliente y este agente de postura, ¿qué atributo llega poblado y fiable? Si la respuesta es ninguno, una política escrita contra él coincidirá con nada o con todo, y ambos resultados son peores que el bloqueo de cuenta que evitaba.

Tercera condición: ¿rechazo, remediación o acceso más estrecho?

Hay tres resultados disponibles y no son intercambiables. Puede terminar la sesión, lo que elimina el acceso por completo; puede poner el dispositivo en cuarentena en un estado en el que solo alcance recursos de remediación; o puede dejar la sesión abierta y recortar su ACL de recursos a las pocas cosas que ese dispositivo aún necesita. Las acciones de sesión DAP y las ACL de recursos responden preguntas distintas, así que la elección trata de cuánto daño colateral debe absorber la persona.

Para un portátil perdido o robado la respuesta suele ser la terminación. Para una máquina que no pasó una comprobación de postura, la remediación es más amable e igual de eficaz.

Decida qué ocurre cuando faltan las pruebas

La ruta por defecto importa más que la regla que escribió para el caso bueno. Si el atributo esperado nunca llega porque el agente de postura está roto, una política que lo exige puede caer en un valor por defecto que admite la sesión. Lea el resultado por defecto y pruebe deliberadamente el caso sin pruebas, porque ese es el estado que presentará un atacante que elimine el agente.

Varios registros DAP coincidentes se agregan en lugar de resolverse por un simple orden de primera coincidencia, y su prioridad de ACL es un mecanismo separado de la selección de registro. Lea la descripción de la agregación en la guía antes de suponer que gana el registro más estricto.

Gestione las sesiones que ya existen y luego pruebe ambos dispositivos

Cambiar una regla de admisión o revocar una credencial no describe qué ocurre con una sesión ya establecida que cursa tráfico. Si se exige la eliminación inmediata, siga el procedimiento de terminación y reevaluación de sesión admitido por la implementación en lugar de esperar la siguiente reconexión. Este es el paso que más a menudo se omite durante un incidente, y es la diferencia entre una política y un resultado.

Pruebe con el mismo usuario permitido en ambas máquinas bajo una comprobación aprobada. El dispositivo bloqueado debe recibir exactamente la denegación o el resultado de remediación previstos, y el otro debe conservar solo sus recursos autorizados. Eso verifica la frontera del dispositivo sin revocar el otro acceso aprobado de la persona.

Si no consigue que esos dos resultados difieran, el problema son las pruebas, no la política, y ningún ajuste de reglas lo arreglará.