VPNaren gailu-egoeraren egiaztapenak ez du blokeatzen? Jarraitu txostena lehenago
Zure amaierako puntuko agenteak osasuntsu dagoela dio, baina barneko aplikazioak irekitzen jarraitzen du. Ibili biltzailea, epaia eta blokeoa, eta gero frogatu ukapena eskaera bakarrarekin.
Anitz astetan zehar eguneratzeari utzi zioten antibirus sinadurak dituen ordenagailu eramangarri batek zure barneko aplikazioa oraindik ireki baditzake, gutxitan da politika dokumentua oker dagoen gauza. Hiru sistema bereizik ados jarri behar dute sarbidea ukatu aurretik: batek amaierako puntua neurtzen du, beste batek neurketa hori baimendu edo ukatu epai bihurtzen du, eta hirugarren batek trafikoa benetan botatzen du. Dagokion gailu ez-bateragarri bat hala ere sartzen denean, katebegi horietako bat falta da zehazki edo ez lukeen froga batean fidatzen da. Beheko egiaztapenak ordena horretan doaz, eta bakoitzak gelditzeko puntu bat du.
Blokeoa azken urratsa da, ez lehena
Autentifikazioak eta gailuaren egoerak galdera desberdinei erantzuten diete. Saio-hasiera arrakastatsuak kredentzial bat aurkeztu zela frogatzen du; ez du ezer esaten hura aurkeztu zuen makinan exekutatzen ari den softwareari buruz. Hutsune hori da kopiatutako bezero-profil batek itxura osasuntsuko saio bat ostalari ez-osasuntsu batera eraman dezakeen arrazoia.
Amaierako puntuen betetze-lanak badu jada kate horretarako hiztegia. RFC 5209ko NEA erreferentzia-ereduak lana biltzaile, ebaluazio-urrats eta betearazpen-puntu banatzen ditu, eta argi dio bere egoerari buruz gezurra esaten duen bezeroa eredutik kanpo dagoela. Ohar hori diagrama baino garrantzitsuagoa da: plataforma-modulu fidagarri batek ez du auto-txosteneko neurketa bat egitate bihurtzen.
Eduki ezazu biltzailea zintzoa norainokoa den. Zure politikak izendatzen dituen atributuak jakinarazi behar ditu, sarbidea eskatzen duen gailuan, eta gutxi gehiago. Instalatutako pakete bakoitza zerrendatzen duen inbentario-agentea egoera-biltzaile ezberdina da, eta aldea atxikipen-arazo eta zehaztasun-arazo da aldi berean. Txostena gailu-identitate bati lotu ezin bazaio, ebaluatzailea asmatzen ari da zein makina onartu duen berriki.
Egoera gorria erakusten duen panel bat ez da kontrol bat. Galdetu ukatu zaion erabiltzaileak zer irits dezakeen oraindik: wikia, fitxategi partekatua, datu-baseko portua? Konponbideak gainazal estu bat behar du, eta beste guztia blokeoaren atzean dago.
Irakurri txostena araua irakurri aurretik
Hasi iturritik, ez bezeroaren tik berdetik. Windowsen tokiko neurketa Defender-etik edo Security Center-en erregistratu den produktutik dator, eta biak saltzailearen kontsolarik gabe irakur daitezke:
Get-MpComputerStatus | Select-Object AMServiceEnabled, RealTimeProtectionEnabled, AntivirusSignatureLastUpdated
Get-CimInstance -Namespace root/SecurityCenter2 -ClassName AntiVirusProduct | Select-Object displayName, productStateBigarren komandoak productState izeneko osoko zenbaki bat itzultzen du. Bere bitak modu lasaian dokumentatuta daude eta saltzaileek aktibazio eta eguneratze banderak modu ezberdinean paketatzen dituzte, beraz egiaztatu, ez aztertu. Hirugarrenen paketeek Security Center-eko sarrera uzten dute desinstalatu ondoren, eta hark diskon jada ez dagoen softwareari buruz egiten du txostena.
Adina da jendeak saltatzen duen eremua. Sinaduraren denbora-zigilu batek ebaluazioa egiten duen makinaren erlojuaren aurrean bakarrik du esanahia, beraz bihurtu ezazu tarte bat, begiz estimatu ordez:
$sig = (Get-MpComputerStatus).AntivirusSignatureLastUpdated
[int](New-TimeSpan -Start $sig -End (Get-Date)).TotalHoursOrain politikak irakurtzeko zenbaki bat du. Zure arauak 72 ordu esaten badu, hori da erabiltzen duen zenbakia, eta aste bat lo egiten duen ordenagailu eramangarriak huts egiten du inork etiketa bat interpretatu gabe. Idatzi atalasea komandoaren ondoan, biak elkarrengandik urruntzen baitira amaierako puntuko tresna ordezkatzen denean.
Bihurtu gailu-egoera bakoitza idatzizko epai
Egoerari buruzko liskar gehienak, egiatan, ezezagun den errenkadari buruzkoak dira. Erabaki ezazu lehenengo gertaera baino lehen, froga, epaia eta jabea izendatzen dituen taula batean, inor ez dadin ateburuaren kontsoletik inprobisatu.
| Evidence the assessor has | Verdict | What it protects against |
|---|---|---|
| Timestamp inside the policy window, protective service running | Admit to normal applications | Nothing yet; the other checks still apply |
| Timestamp older than the window | Deny, admit remediation page only | Signature rollback and dormant laptops |
| Service disabled or reporting off | Deny, escalate to the endpoint owner | An agent reporting stale success |
| No report at all for this session | Treat as deny, never as healthy | Agents that fail open under load |
Beheko errenkadan bereizten dira produktuak. Zenbait ateburuk konexioa ukatzen dute eta zergatik azaltzen dute; beste batzuek tunela igotzen uzten dute eta politika murriztua aplikatzen dute; gutxi batzuk azken txosten onera jotzen dute. Lehenengo biak bakarrik dira defendagarriak, eta merezi du probatzea zurea zein den.
Eduki itzazu identitatea eta baimena beren bideetan ere. Egoera-proba guztiak gainditzen dituen ordenagailu eramangarri batek oraindik behar du aplikaziorako giza baimen egokia, eta gailu-ziurtagiri batek gako baten jabetza frogatzen du, ez fitxategi-sistemaren egoera. Hirurak boolear bakar batean biltzea da laguntza-mahaiaren kontu batek produkzioan sarbide iraunkorra nola lortzen duen.
Egiaztatu betearazpen-bidea eskaera batekin, ez panel batekin
Betearazpena eskaeraren ezaugarria da, beraz neurtu eskaera batekin. Jarri gailu ez-bateragarri bat tunelean eta egin erabiltzaile erreal batek egingo lukeen deia:
curl -sS -o /dev/null -w '%{http_code}
' --max-time 5 https://app.internal.example/healthBlokeatuta egon beharko lukeen gailu batek emandako 200 batek esan nahi du erabakiak ez zuela inoiz datuen bidea iritsi. Bi arrazoi ohiko: politika probako kontuak sekula sartu ez zuen talde bati lotuta dago, edo aplikazioa VPNak ez duen bide batetik iristeko modukoa da.
Egiaztatu lehenengo bideratzearen ustea. Barneko izenak bezeroak tokiko LANetik jada iristen duen helbide batera ebazten badu, tunela hutsala da eta ez da politikarik aplikatuko. Alderatu helbide hori ateburuak bultzatzen duen bidearekin. OpenVPN sarean, bezero bakoitzeko politika izen erkidearen arabera gordetako fitxategietan bizi da, beraz erraza da ikuskatzea:
ls /etc/openvpn/ccd/
cat /etc/openvpn/ccd/laptop-17disable duen fitxategi batek bezero hori erabat deskonektatzen du, eta push "route ..." lerro batek irits dezakeena estutzen du. Biak dira betearazpena, eta biak dira txostena arazten duenarentzat ikusgai.
Probatu lau kasuak proba-kontu bakar batean
Azken egiaztapena matrize txiki bat da, ez bide zoriontsua. Eraman proba-kontu bat lau egoeretatik: egungoa, iraungitako sinadura, babesa desgaituta, agentea instalatu gabe. Bakoitzarentzat, idatzi epaia ebaluazio-erregistroan, aplikazioak itzultzen duen HTTP egoera eta konponketa-orria kargatu zen ala ez.
foreach ($case in 'current', 'stale', 'disabled', 'absent') {
Get-MpComputerStatus | Select-Object AMServiceEnabled, AntivirusSignatureLastUpdated
curl.exe -sS -o NUL -w "%{http_code}
" --max-time 5 https://app.internal.example/health
}Bi xehetasun erraz pasatzen dira gainetik. Lehenik errepikapena: makinak osasuntsu zegoela hartutako txosten bat ez litzateke onartu behar gailu bereko gerorako saio baterako, beraz bilatu uneko konexioari lotutako denbora-zigilu bat. Gero kentzea: agentea desinstalatzeak txosten zaharkitu baten ukapen bera sortu beharko luke, ez pasabide garbia, eta hori da gehienetan sekula probatzen ez den kasua.
Matrizeak taularekin bat egiten duenean, eman hiru elementu ateburua gero kudeatuko duenari: komandoak, atalasea eta espero diren lau emaitzak. Eskualdaketa hori da benetako emaitza, politikako dokumentu batean bakarrik bizi den egoera-diseinu bat desbideratu egiten baita amaierako puntuko tresnak bere txosten-eremua aldatzen duen lehen aldian.