Bloquer un seul appareil du VPN sans désactiver tout le compte

Un employé, deux portables, et un seul d'entre eux doit perdre l'accès. Désactiver le compte est le levier évident, mais il punit la mauvaise portée, tandis que supprimer un profil enregistré sur le poste est une suggestion et non un contrôle. La décision se ramène à trois conditions : existe-t-il une identité d'appareil que le VPN peut vérifier, cette connexion précise l'évalue-t-elle réellement, et que voulez-vous qu'il arrive à l'appareil plutôt qu'à la personne. Répondez-y dans cet ordre et l'application se choisit généralement d'elle-même.

Première condition : existe-t-il des preuves d'appareil que le VPN peut vérifier ?

Une adresse source est partagée derrière le NAT du bureau et change sur les réseaux mobiles. Un nom d'hôte est ce que l'appareil prétend, une adresse MAC se falsifie trivialement, et une valeur de registre peut être écrite par n'importe quoi disposant de droits locaux. Aucune de ces données n'est une identité tant que quelque chose ne la vérifie pas. Un justificatif d'appareil inscrit séparément, comme un certificat émis pour ce poste, est la seule option qui donne à la révocation une cible plus étroite que le compte utilisateur.

Le justificatif ne compte que si la connexion s'authentifie avec lui et valide la chaîne à chaque tentative. Un fichier qui dort dans le magasin de la machine ne prouve rien.

Deuxième condition : cette connexion l'évalue-t-elle ?

Les attributs de poste ne sont pas universels. Sur un ASA, le guide ASDM DAP de Cisco sépare les informations AAA de l'utilisateur des attributs d'évaluation du poste, et les attributs disponibles dépendent du protocole d'accès distant utilisé, des outils de posture déployés et de la licence. Une vérification de registre exige le chemin de collecte pris en charge, et même alors elle rapporte ce que l'outil du poste a vu, non que la machine soit celle à laquelle vous faites confiance.

La question pratique est donc étroite : sur ce tunnel, avec ce client et cet agent de posture, quel attribut arrive renseigné et digne de confiance ? Si la réponse est aucun, une politique écrite contre lui correspondra à rien ou à tout, et les deux issues sont pires que le verrouillage de compte que vous évitiez.

Troisième condition : rejet, remédiation ou accès plus étroit ?

Trois issues sont disponibles et elles ne sont pas interchangeables. Vous pouvez terminer la session, ce qui retire l'accès entièrement ; vous pouvez mettre l'appareil en quarantaine dans un état où il n'atteint que les ressources de remédiation ; ou vous pouvez laisser la session ouverte et réduire son ACL de ressources aux quelques choses dont cet appareil a encore besoin. Les actions de session DAP et les ACL de ressources répondent à des questions différentes, le choix porte donc sur la quantité de dommages collatéraux que la personne doit absorber.

Pour un portable perdu ou volé, la réponse est généralement la terminaison. Pour une machine qui a échoué à un contrôle de posture, la remédiation est plus douce et tout aussi efficace.

Décider de ce qui se passe lorsque les preuves manquent

Le chemin par défaut compte plus que la règle écrite pour le bon cas. Si l'attribut attendu n'arrive jamais parce que l'agent de posture est cassé, une politique qui l'exige peut basculer vers un défaut qui admet la session. Lisez le résultat par défaut et testez délibérément le cas sans preuve, car c'est l'état qu'un attaquant qui retire l'agent présentera.

Plusieurs enregistrements DAP correspondants sont agrégés plutôt que résolus par un simple ordre de première correspondance, et leur priorité d'ACL est un mécanisme distinct de la sélection d'enregistrement. Lisez la description de l'agrégation dans le guide avant de supposer que l'enregistrement le plus strict l'emporte.

Traiter les sessions déjà existantes, puis tester les deux appareils

Modifier une règle d'admission ou révoquer un justificatif ne décrit pas ce qui arrive à une session déjà établie qui transporte du trafic. Si le retrait immédiat est l'exigence, suivez la procédure de terminaison et de réévaluation de session prise en charge par l'implémentation au lieu d'attendre la prochaine reconnexion. C'est l'étape la plus souvent omise pendant un incident, et c'est la différence entre une politique et un résultat.

Testez avec le même utilisateur autorisé sur les deux machines dans le cadre d'un contrôle approuvé. L'appareil bloqué doit recevoir exactement le refus ou le résultat de remédiation prévu, et l'autre ne conserver que ses ressources autorisées. Cela vérifie la frontière de l'appareil sans révoquer l'autre accès approuvé de la personne.

Si vous ne parvenez pas à rendre ces deux résultats différents, le problème vient des preuves, pas de la politique, et aucun réglage de règle ne le corrigera.