Pakkuda välja kaugjuurdepääsuseade, mille võrguomanik saab heaks kiita

Kaugjuurdepääsuseade muudab kliendi võrgupiiri ka siis, kui see helistab väljapoole ja ei vaja ühtegi sissetulevat pordisuunamist. Just väljapoole suund on see, mis teeb selle lihtsasti paigaldatavaks ja lihtsasti tähelepanuta jäetavaks. Esitage see juurdepääsu kavandamise taotlusena enne, kui see võrku läheb. Selle esitamine millegi sellisena, mida polnud vaja mainida, on viis, kuidas tehniline edu muutub lepinguliseks probleemiks.

Eeldage, et võrguomanik esitab neli küsimust: mis, kes, kui kaugele ja kuidas me selle tagasi pöörame.

Küsige ressurssi, mitte alavõrku

Kirjeldage tööd omaniku kasutatavate terminitega: milline inimene vajab millist teenust, millises seadmes ja kui kaua. Ühele hostile ühe rakendusega piiratud taotlust on lihtne heaks kiita. Alavõrgu taotlus on taotlus kellegi teise segmenteerimise ümberkorraldamiseks.

Võib juhtuda, et kliendil on juba heakskiidetud VPN, kaugtöölaua lüüs või hallatav tugikanal, mis vajaduse katab. Kontrollige seda esimesena, sest olemasoleva tee taaskasutamine on tavaliselt mõlema poole jaoks odavaim vastus. Kui see ei sobi, öelge täpselt, miks. See võrdlus on ettepaneku tugevaim osa.

Kui seade on tõesti vajalik, tooge kaasa selle omanik, tarkvaraallikas, uuendusprotsess ja kavandatav paigalduspunkt.

Näidake ühendust ja seda, kus usaldus lõpeb

Joonistage seade, kaugkasutaja, võimalik vahendaja või relee ja kaitstud ressurss. Märkige, kus krüpteerimine lõpeb ja kes haldab iga lõpp-punkti. Väljaminev sessioon toob siiski sisse uue juhtimistee, ja diagrammil muutub see nähtavaks. Väita, et liiklus on krüpteeritud, vastab konfidentsiaalsuse küsimusele ja mitte ühelegi autoriseerimisküsimusele.

Nimetage režiim selgelt: pakettide edastamine, rakenduseproksi või avatud töölaud. Igal on erinevad tagajärjed marsruutimisele ja hosti turvalisusele, ja igaüks ebaõnnestub erinevalt, kui seade on kompromiteeritud.

Hoidke mitteseotud kliendivõrgud ja seadme enda haldusliides heakskiidetud ulatusest väljas.

Eraldage kasutajaidentiteet seadmeidentiteedist

Kasutajate registreerimine, seadme identiteet, mitmefaktoriline autentimine ja rakendusse sisselogimine on neli erinevat kontrolli, ja ettepanek peaks igaüht neist nimetama. Jagatud mandaadid on tavaline otsetee ja jätavad omaniku ilma võimalusest üht inimest tühistada ilma kõiki häirimata. Sisselogimine peaks jääma rakenduse juurde. Seade autendib ühendust; teenus otsustab, mida see ühendus tohib teha.

NIST-i nullusalduse arhitektuur on siin kasulik, sest käsitleb ressurssidele juurdepääsu selgesõnalise otsusena, mitte võrgus asukoha tagajärjena.

Leppige kokku taastamine ja eemaldamine enne paigaldamist

Omanik peaks saama juurdepääsu kiiresti välja lülitada enda juhitava kontrolli kaudu, mitte teile helistades. Kirjutage üles mandaatide tühistamine, seadme eemaldamine, uuenduste vastutus ja aegumis- või ülevaatamiskuupäev. Hoidke alles kohalik taastamistee, mis ei sõltu uuest kaugkanalist. Seade, mida keegi ei saa ilma tarnijata eemaldada, on alaline sõltuvus mugavuseks maskeeritud.

Hoidke arvestust proportsionaalsena: heakskiidetud identiteedid, juurdepääsu ulatus, olulised muudatused ja asjakohased tõrked.

Mitteseotud sirvimisajaloo kogumine, et tõestada seadme olemasolu, ei ole hea töö tõestus ja loob kohustuse, mida omanik ei ole kunagi palunud.

Kuidas näeb välja edukas kinnitamine

Võtke kavand koos omanikuga vastu ühe lubatud teenuse ja ühe ressursiga, mis peab jääma keelatuks. See teine pool on osa, mille inimesed vahele jätavad, ja see on ainus osa, mis tõestab, et piir asub seal, kus diagramm ütleb. Testige tühistamist samamoodi, enne kui seade kannab tegelikku tööd. Kui kinnitust ei anta, kasutage kliendi lubatud alternatiivi või tehke töö kohapeal.

Töötav ühendus ei ole luba juurdepääsutee loomiseks.

Kirjutage kinnitus üles koos selle ulatuse ja aegumisega ning andke omanikule koopia. Järgmine inimene, kes seda võrku puudutab, loeb kirjet, mitte teie mälestust vestlusest.