Ehdota etäkäyttölaite, jonka verkon omistaja voi hyväksyä

Etäkäyttölaite muuttaa asiakkaan verkon rajaa, vaikka se soittaisi ulospäin eikä tarvitsisi lainkaan saapuvaa portinohjausta. Juuri ulospäin suuntautuva yhteys tekee siitä helpon asentaa ja helpon jättää huomaamatta. Esitä se käyttöoikeuden suunnittelupyyntönä ennen kuin se menee verkkoon. Sen esittäminen asiana, jota ei tarvinnut mainita, on tapa, jolla tekninen onnistuminen muuttuu sopimusongelmaksi.

Oleta, että verkon omistaja esittää neljä kysymystä: mitä, kuka, kuinka kauas ja miten perumme sen.

Pyydä resurssia, älä aliverkkoa

Kuvaile työ omistajan käyttämillä termeillä: kuka henkilö tarvitsee mitä palvelua, millä laitteella ja kuinka kauan. Yhteen sovellukseen yhdellä isäntäkoneella rajattu pyyntö on helppo hyväksyä. Aliverkkoa koskeva pyyntö on pyyntö jonkun toisen segmentoinnin uudelleenjärjestämisestä.

Asiakkaalla voi jo olla hyväksytty VPN, etätyöpöytäyhdyskäytävä tai hallittu tukikanava, joka täyttää tarpeen. Tarkista se ensin, koska olemassa olevan reitin uudelleenkäyttö on yleensä molemmille osapuolille halvin vastaus. Jos se ei sovi, kerro täsmälleen miksi. Tämä vertailu on ehdotuksen vahvin osa.

Jos laite on todella tarpeen, tuo sen omistaja, ohjelmistolähde, päivitysprosessi ja aiottu asennuskohta.

Näytä yhteys ja missä luottamus päättyy

Piirrä laite, etäkäyttäjä, mahdollinen välittäjä tai rele sekä suojattu resurssi. Merkitse, mihin salaus päättyy ja kuka hallinnoi kutakin päätepistettä. Ulospäin suuntautuva istunto tuo silti uuden ohjauspolun, ja kaaviossa se tulee näkyväksi. Väite, että liikenne on salattua, vastaa luottamuksellisuuskysymykseen eikä yhteenkään valtuutuskysymykseen.

Nimeä tila selvästi: pakettien edelleenlähetys, sovellusvälityspalvelin vai paljastettu työpöytä. Jokaisella on erilaiset seuraukset reititykselle ja isäntäkoneen turvallisuudelle, ja jokainen epäonnistuu eri tavalla, kun laite on vaarantunut.

Pidä asiaankuulumattomat asiakasverkot ja laitteen oma hallintakäyttöliittymä hyväksytyn laajuuden ulkopuolella.

Erottele käyttäjän identiteetti laitteen identiteetistä

Käyttäjien rekisteröinti, laitteen identiteetti, monivaiheinen todennus ja sovellukseen kirjautuminen ovat neljä eri valvontakeinoa, ja ehdotuksen pitäisi nimetä jokainen niistä. Jaetut tunnukset ovat tavallinen oikotie, ja ne jättävät omistajan kyvyttömäksi perua yhden henkilön häiritsemättä kaikkia. Kirjautumisen pitäisi pysyä sovelluksessa. Laite todentaa yhteyden; palvelu päättää, mitä yhteys saa tehdä.

NIST:n nollaluottamusarkkitehtuuri on hyödyllinen tässä, koska se käsittelee resurssien käyttöä nimenomaisena päätöksenä eikä verkon sijainnin seurauksena.

Sovi palauttamisesta ja poistamisesta ennen asennusta

Omistajan pitäisi pystyä poistamaan käyttö nopeasti itse hallitsemastaan ohjaimesta, ei soittamalla sinulle. Kirjaa tunnusten peruuttaminen, laitteen poistaminen, päivitysvastuu sekä vanhenemis- tai tarkistuspäivä. Säilytä paikallinen palautumispolku, joka ei riipu uudesta etäkanavasta. Laite, jota kukaan ei voi poistaa ilman toimittajaa, on pysyvä riippuvuus mukavuudeksi naamioituna.

Pidä kirjanpito oikeasuhtaisena: hyväksytyt identiteetit, käytön laajuus, merkittävät muutokset ja olennaiset häiriöt.

Asiaankuulumattoman selaushistorian kerääminen sen osoittamiseksi, että laite on olemassa, ei ole todiste hyvästä toiminnasta, ja se luo velvoitteen, jota omistaja ei koskaan pyytänyt.

Millainen on onnistunut hyväksyntä

Hyväksy suunnitelma yhdessä omistajan kanssa yhdellä sallitulla palvelulla ja yhdellä resurssilla, jonka on pysyttävä kiellettynä. Tuo toinen puoli on osa, jonka ihmiset ohittavat, ja se on ainoa osa, joka todistaa, että raja on siinä, missä kaavio sanoo. Testaa peruuttaminen samalla tavalla ennen kuin laite kantaa todellista työtä. Jos hyväksyntä evätään, käytä asiakkaan hyväksyttyä vaihtoehtoa tai tee työ paikallisesti.

Toimiva yhteys ei ole lupa luoda käyttöpolkua.

Kirjaa hyväksyntä sen laajuuden ja vanhenemisen kanssa ja anna omistajalle kopio. Seuraava henkilö, joka koskettaa tuota verkkoa, lukee kirjausta, ei muistikuvaasi keskustelusta.