VPN-marsruut ei anna sinu Macile kaugsisselogimist

Töö-VPNiga liitumine ei ütle iseenesest midagi selle kohta, kas keegi saab sinu Maci mujalt sisse logida. Kokku peavad langema kolm eraldi asja: masinani jõudev võrgutee, töötav juurdepääsuteenus ja luba konkreetsel kontol seda teenust kasutada. Tunnel annab ainult esimese. Kõik muu sellel lehel on kahe ülejäänu kontrollimine ilma vastust eeldamata.

Alusta teenusest või paigaldatud komponendist, mis kaugjuurdepääsu annaks, ja lõpeta selle tuletamine menüüriba ühendatud oleku indikaatorist.

Kolm kontrolli, mille inimesed üheks sulandavad

Kättesaadavus vastab sellele, kas paketid saavad kohale jõuda. Jagamisteenus vastab sellele, kas masinas kuulab midagi. Autoriseerimine vastab sellele, milliseid identiteete teenus aktsepteerib ja mida need võivad puudutada pärast sissepääsemist. VPN võib muuta esimest vastust puutumata kahte ülejäänut, ja just seetõttu tekitab see küsimus jätkuvalt halbu järeldusi mõlemas suunas.

Apple’i Remote Logini juhend on selle jaotuse hea konkreetne näide, sest see asub kindlas kohas ja kannab oma kontovalikuid. See asub jaotises System Settings, General, Sharing ning kirjeldab SSH- ja SFTP-juurdepääsu lubatud kasutajate valikuga. Täielik kettajuurdepääs kaugkasutajatele on jälle eraldi valik, mis kinnitab mõtet: teenuse sisselülitamine ei ole sama, mis kõigi võimaluste andmine, mida teenus võiks pakkuda.

Kontrolli, mis on tegelikult sisse lülitatud

Käi läbi Sharingi paneel ja märgi üles iga sisselülitatud teenus, mitte ainult see, mida ootasid. Remote Login, Screen Sharing ja File Sharing avavad igaüks erineva pinna ja igaühel on oma kasutajate nimekiri. SSH seade ei ütle midagi ekraani jagamise kohta, ja jagamisfunktsiooni olemasolu operatsioonisüsteemis ei ütle midagi selle kohta, kas keegi on seda kasutanud.

Seejärel loetle, mis muu võiks juurdepääsu anda: kolmanda osapoole kaugtoe agent, registreerimise ajal paigaldatud haldustööriist või ekraanijagamisserver, mis on millegi muuga kokku pandud. Need ei ilmu Sharingi paneelil ja just need on komponendid, mille inimesed sülearvuti auditeerimisel unustavad. Kirjuta üles iga agent, mida sa ei suuda tuvastada, sest tundmatu kuulava pordiga protsess on huvitavam kui tuttav ilma selleta. Lühike tundmatute nimekiri on parem kui enesekindel järeldus, mis on üles ehitatud ainsale paneelile, mille sa juhuslikult avasid.

Küsi administraatorilt, mida registreerimine paigaldas

Kui tööregistreerimine hõlmas konfiguratsiooniprofiili, administraatori kinnitust või lisatarkvara, palu selle eest vastutaval inimesel vastata kolmele asjale: millised komponendid paigaldati, millised õigused neil on ja mis jääb aktiivseks pärast sinu lahtiühendamist. VPN-marsruudil ja privileegiga lõpp-punkti agendil on väga erinevad võimalused ning tavaliselt on kasutajale nähtav ainult üks neist.

Lubatud kaugtoe korralduse puhul hanki üksikasjad kirjalikult: millised kasutajad on volitatud, millised toimingud on kavandatud, kas kuvatakse kinnitusküsimus ja kuidas korraldus eemaldatakse, kui töö lõpeb. Ära anna kõigile kasutajatele juurdepääsu ega laiu kettalube ainult selleks, et testida, kas tugi saab ühenduda, sest see test laiendab piiri jäädavalt.

Kui leiad jälje, mida sa ei oodanud

Tundmatu ühenduste logi või sisselülitatud lüliti on vihje, mitte tõend konkreetse inimese tegevuse kohta. Säilita asjakohased mitte-salajased sündmused, pane kirja ajad ja kasuta organisatsiooni või platvormi intsidendiprotsessi, selle asemel et kellegagi vastamisi minna või tõendeid kustutada lootuses, et see iseenesest laheneb.

Hallataval seadmel lase selle omanikul enne, kui lülitad välja poliitika nõutava kontrolli, pakutud muudatused üle vaadata. Töövõrku liidetud isiklikul seadmel küsi selget registreerimispiiri ja toetatud väljumisprotseduuri, sealhulgas seda, mis eemaldatakse ja mis jääb.

Kasulik vastus nimetab mehhanismi ja selle taga oleva volituse. See ei tõota kunagi ei piiramatut tööandja juurdepääsu ega täielikku turvalisust tunnuse sildi tõttu ega aja marsruuti sisselogimisega segi.