Estä yksi laite VPN:stä poistamatta koko tiliä käytöstä

Yksi työntekijä, kaksi kannettavaa ja vain yhden niistä on menetettävä pääsy. Tilin poistaminen käytöstä on ilmeinen vipu, mutta se rankaisee väärää laajuutta, kun taas päätelaitteeseen tallennetun profiilin poistaminen on ehdotus eikä valvonta. Päätös tiivistyy kolmeen ehtoon: onko olemassa laiteidentiteetti, jonka VPN voi tarkistaa, arvioiko juuri tämä yhteys sitä, ja mitä haluat tapahtuvan laitteelle henkilön sijaan. Vastaa niihin tässä järjestyksessä, ja valvonta valitsee yleensä itse itsensä.

Ensimmäinen ehto: onko laitetodisteita, jotka VPN voi tarkistaa?

Lähdeosoite on jaettu toimiston NAT:in takana ja vaihtuu matkapuhelinverkoissa. Isäntänimi on mitä laite väittää, MAC-osoite väärennetään vaivatta, ja rekisteriarvon voi kirjoittaa mikä tahansa paikalliset oikeudet omaava. Mikään näistä ei ole identiteetti, ennen kuin jokin tarkistaa sen. Erikseen rekisteröity laitevaltuutus, kuten kyseiselle päätelaitteelle myönnetty varmenne, on ainoa vaihtoehto, joka antaa peruutukselle kohteen, joka on kapeampi kuin käyttäjätili.

Valtuutus lasketaan vain, jos yhteys todennetaan sillä ja ketju validoidaan joka yrityksellä. Koneen varastossa makaava tiedosto ei todista mitään.

Toinen ehto: arvioiko tämä yhteys sitä?

Päätelaitteen attribuutit eivät ole yleispäteviä. ASAssa Ciscon ASDM DAP -opas erottaa käyttäjän AAA-tiedot päätelaitteen arviointiattribuuteista, ja se, mitkä attribuutit ovat käytettävissä, riippuu käytetystä etäkäyttöprotokollasta, käyttöönotetuista posture-työkaluista ja lisenssistä. Rekisteritarkistus tarvitsee tuetun keruupolun, ja silloinkin se raportoi, mitä päätelaitetyökalu näki, ei sitä, että kone on se, johon luotat.

Käytännön kysymys on siis kapea: tässä tunnelissa, tällä asiakasohjelmalla ja tällä posture-agentilla, mikä attribuutti saapuu täytettynä ja luotettavana? Jos vastaus on ei mikään, sitä vastaan kirjoitettu käytäntö osuu ei mihinkään tai kaikkeen, ja molemmat tulokset ovat huonompia kuin välttämäsi tilin lukitus.

Kolmas ehto: hylkäys, korjaus vai kapeampi pääsy?

Kolme tulosta on saatavilla, eivätkä ne ole vaihdettavissa. Voit päättää istunnon, mikä poistaa pääsyn kokonaan; voit asettaa laitteen karanteeniin tilaan, jossa se tavoittaa vain korjausresurssit; tai voit jättää istunnon pystyyn ja leikata sen resurssi-ACL:n niihin harvoihin asioihin, joita laite vielä tarvitsee. DAP-istunnon toiminnot ja resurssi-ACL:t vastaavat eri kysymyksiin, joten valinta koskee sitä, kuinka paljon oheisvahinkoa henkilön on kestettävä.

Kadonneen tai varastetun kannettavan kohdalla vastaus on yleensä lopetus. Koneen, joka ei läpäissyt posture-tarkistusta, kohdalla korjaus on lempeämpää ja yhtä tehokasta.

Päätä, mitä tapahtuu, kun todisteet puuttuvat

Oletuspolku merkitsee enemmän kuin hyvää tapausta varten kirjoitettu sääntö. Jos odotettu attribuutti ei koskaan saavu, koska posture-agentti on rikki, sen vaativa käytäntö voi pudota oletukseen, joka päästää istunnon sisään. Lue oletustulos ja testaa todisteiden puuttumisen tapaus tarkoituksella, sillä juuri sen tilan hyökkääjä, joka poistaa agentin, esittää.

Useat täsmäävät DAP-tietueet yhdistetään sen sijaan, että ne ratkaistaisiin yksinkertaisella ensimmäisen osuman järjestyksellä, ja niiden ACL-prioriteetti on tietueen valinnasta erillinen mekanismi. Lue oppaan kuvaus yhdistämisestä ennen kuin oletat tiukemman tietueen voittavan.

Käsittele jo olemassa olevat istunnot ja testaa sitten molemmat laitteet

Pääsyä koskevan säännön muuttaminen tai valtuutuksen peruuttaminen ei kuvaa, mitä tapahtuu istunnolle, joka on jo muodostettu ja välittää liikennettä. Jos välitön poistaminen on vaatimus, seuraa toteutuksen tukemaa istunnon lopetus- ja uudelleenarviointimenettelyä sen sijaan, että odottaisit seuraavaa uudelleenyhdistämistä. Tämä on vaihe, joka useimmin ohitetaan tapahtuman aikana, ja se on ero käytännön ja tuloksen välillä.

Testaa samalla sallitulla käyttäjällä molemmilla koneilla hyväksytyn tarkistuksen alaisena. Estetyn laitteen pitäisi saada täsmälleen aiottu hylkäys tai korjaustulos, ja toisen pitäisi pitää vain valtuutetut resurssinsa. Tämä varmistaa laiterajan peruuttamatta henkilön muuta hyväksyttyä pääsyä.

Jos et saa näitä kahta tulosta eroamaan, ongelma on todisteissa, ei käytännössä, eikä mikään sääntöjen viritys korjaa sitä.