Ühe seadme blokeerimine VPN-ist kogu kontot deaktiveerimata

Üks töötaja, kaks sülearvutit ja ainult üks neist peab juurdepääsu kaotama. Konto deaktiveerimine on ilmne hoob, kuid karistab vale ulatust, samas kui lõpp-punktis salvestatud profiili kustutamine on ettepanek, mitte kontroll. Otsus taandub kolmele tingimusele: kas on olemas seadme identiteet, mida VPN saab kontrollida, kas see konkreetne ühendus seda tegelikult hindab, ja mida te tahate, et juhtuks seadmega, mitte inimesega. Vastake neile selles järjekorras ja jõustamine valib tavaliselt ise.

Esimene tingimus: kas on seadme tõendeid, mida VPN saab kontrollida?

Lähteaadress on kontori NAT-i taga jagatud ja muutub mobiilivõrkudes. Hostinimi on see, mida seade väidab, MAC-aadressit on triviaalne võltsida ja registriväärtuse võib kirjutada mis tahes kohalike õigustega asi. Ükski neist ei ole identiteet, kuni miski seda kontrollib. Eraldi registreeritud seadme volitus, näiteks sellele lõpp-punktile välja antud sertifikaat, on ainus valik, mis annab tühistamisele sihtmärgi, mis on kitsam kui kasutajakonto.

Volitus loeb ainult siis, kui ühendus autendib sellega ja valideerib ahela igal katsel. Masina hoidlas seisav fail ei tõesta midagi.

Teine tingimus: kas see ühendus seda hindab?

Lõpp-punkti atribuudid ei ole universaalsed. ASA-l eraldab Cisco ASDM DAP juhend kasutaja AAA-teabe lõpp-punkti hindamisatribuutidest ning see, millised atribuudid on saadaval, sõltub kasutatavast kaugjuurdepääsuprotokollist, juurutatud posture-tööriistadest ja litsentsist. Registrikontroll vajab toetatud kogumisteed ja isegi siis teatab see, mida lõpp-punkti tööriist nägi, mitte et masin on see, mida te usaldate.

Seega on praktiline küsimus kitsas: sellel tunnelil, selle kliendi ja selle posture-agendiga, milline atribuut saabub täidetuna ja usaldusväärsena? Kui vastus on mitte ükski, siis selle vastu kirjutatud poliitika sobib mitte millegagi või kõigega, ja mõlemad tulemused on hullemad kui kontolukk, mida te väldite.

Kolmas tingimus: tagasilükkamine, parandamine või kitsam juurdepääs?

Saadaval on kolm tulemust ja need ei ole vahetatavad. Saate seansi lõpetada, mis eemaldab juurdepääsu täielikult; saate seadme panna karantiini olekusse, kus see pääseb ainult parandusressurssidele; või saate jätta seansi püsti ja lõigata selle ressursi-ACL-i alla nende väheste asjadeni, mida see seade veel vajab. DAP-i seansitegevused ja ressursi-ACL-id vastavad erinevatele küsimustele, seega valik puudutab seda, kui palju kõrvalkahju inimene peab taluma.

Kaotatud või varastatud sülearvuti puhul on vastus tavaliselt lõpetamine. Posture-kontrolli läbi kukkunud masina puhul on parandamine leebem ja sama tõhus.

Otsustage, mis juhtub, kui tõendid puuduvad

Vaikimisi tee loeb rohkem kui reegel, mille kirjutasite hea juhtumi jaoks. Kui oodatud atribuut ei saabu kunagi, sest posture-agent on katki, võib seda nõudev poliitika langeda vaikimisi väärtusele, mis seansi sisse laseb. Lugege vaikimisi tulemust ja testige tõendite puudumise juhtumit meelega, sest just sellise oleku esitab ründaja, kes agendi eemaldab.

Mitu sobivat DAP-kirjet agregeeritakse, mitte ei lahendata lihtsa esimese-vaste järjekorraga, ja nende ACL-i prioriteet on kirje valikust eraldi mehhanism. Lugege juhendi agregeerimise kirjeldust enne, kui eeldate, et rangem kirje võidab.

Käsitlege juba olemasolevaid seansse, seejärel testige mõlemat seadet

Vastuvõtureegli muutmine või volituse tühistamine ei kirjelda, mis juhtub seansiga, mis on juba loodud ja edastab liiklust. Kui nõutakse kohest eemaldamist, järgige implementatsiooni toetatud seansi lõpetamise ja ümberhindamise protseduuri, selle asemel et oodata järgmist taasühendust. See on samm, mis jäetakse intsidendi ajal kõige sagedamini vahele, ja see on vahe poliitika ja tulemuse vahel.

Testige sama lubatud kasutajaga mõlemas masinas heakskiidetud kontrolli all. Blokeeritud seade peaks saama täpselt kavandatud keeldumise või parandustulemuse ning teine peaks hoidma ainult oma volitatud ressursse. See kontrollib seadme piiri ilma inimese teist heakskiidetud juurdepääsu tühistamata.

Kui te ei suuda neid kahte tulemust erinevaks teha, on probleem tõendites, mitte poliitikas, ja ükski reeglite häälestamine ei paranda seda.