Proposer un équipement d’accès distant que le propriétaire du réseau peut approuver

Un équipement d’accès distant modifie la frontière réseau du client même lorsqu’il se connecte vers l’extérieur et n’a besoin d’aucune redirection de port entrante. C’est la direction sortante qui le rend facile à installer et qui le rend facile à négliger. Présentez-le comme une demande de conception d’accès avant qu’il n’arrive sur le réseau. Le présenter comme quelque chose qu’il n’était pas nécessaire de mentionner, c’est ainsi qu’un succès technique devient un problème contractuel.

Partez du principe que le propriétaire du réseau posera quatre questions : quoi, qui, jusqu’où, et comment annule-t-on.

Demandez la ressource, pas le sous-réseau

Décrivez le travail avec les termes qu’utilise le propriétaire : quelle personne a besoin de quel service, sur quel appareil, pendant combien de temps. Une demande limitée à une application sur un seul hôte est facile à approuver. Une demande de sous-réseau est une demande de réorganiser la segmentation de quelqu’un d’autre.

Le client exploite peut-être déjà un VPN approuvé, une passerelle de bureau à distance ou un canal d’assistance géré qui répond au besoin. Vérifiez-le d’abord, car réutiliser un chemin existant est généralement la réponse la moins coûteuse pour les deux parties. S’il ne convient pas, dites précisément pourquoi. Cette comparaison est la partie la plus solide de la proposition.

Si un équipement est réellement nécessaire, apportez son propriétaire, la source du logiciel, le processus de mise à jour et le point d’installation prévu.

Montrez la connexion et où la confiance s’arrête

Dessinez l’équipement, l’utilisateur distant, tout courtier ou relais et la ressource protégée. Indiquez où le chiffrement se termine et qui administre chaque extrémité. Une session sortante introduit encore un nouveau chemin de contrôle, et c’est sur le schéma que cela devient visible. Dire que le trafic est chiffré répond à une question de confidentialité et à aucune question d’autorisation.

Indiquez le mode explicitement : transfert de paquets, proxy applicatif ou bureau exposé. Chacun a des conséquences différentes sur le routage et la sécurité de l’hôte, et chacun échoue différemment lorsque l’équipement est compromis.

Gardez les réseaux clients sans rapport et l’interface d’administration de l’équipement lui-même hors du périmètre approuvé.

Séparez l’identité utilisateur de l’identité de l’appareil

L’enrôlement des utilisateurs, l’identité de l’appareil, l’authentification multifacteur et la connexion à l’application sont quatre contrôles différents, et la proposition doit nommer chacun d’eux. Les identifiants partagés sont le raccourci habituel, et ils laissent le propriétaire incapable de révoquer une personne sans perturber tout le monde. La connexion à l’application doit rester du côté de l’application. L’équipement authentifie une connexion ; le service décide ce que cette connexion peut faire.

L’architecture zéro confiance du NIST est utile ici parce qu’elle traite l’accès aux ressources comme une décision explicite plutôt que comme une conséquence de l’emplacement réseau.

Convenez de la récupération et du retrait avant l’installation

Le propriétaire doit pouvoir désactiver l’accès rapidement via un contrôle qu’il exploite lui-même, et non via un appel vers vous. Écrivez la révocation des identifiants, le retrait de l’équipement, la responsabilité des mises à jour et une date d’expiration ou de révision. Conservez un chemin de récupération local qui ne dépende pas du nouveau canal distant. Un équipement que personne ne peut retirer sans le fournisseur est une dépendance permanente déguisée en confort.

Gardez des enregistrements proportionnés : identités approuvées, périmètre d’accès, changements significatifs et défaillances pertinentes.

Collecter un historique de navigation sans rapport pour démontrer que l’équipement existe n’est pas une preuve de bon fonctionnement, et cela crée une obligation que le propriétaire n’a jamais demandée.

À quoi ressemble une approbation réussie

Acceptez la conception avec le propriétaire avec un service autorisé et une ressource qui doit rester refusée. Cette seconde moitié est la partie que les gens sautent, et c’est la seule qui prouve que la frontière se trouve là où le schéma dit qu’elle se trouve. Testez la révocation de la même manière, avant que l’équipement ne porte du travail réel. Si l’approbation est refusée, utilisez l’alternative sanctionnée du client ou faites le travail localement.

Une connexion qui fonctionne n’est pas une autorisation de créer le chemin d’accès.

Écrivez l’approbation avec son périmètre et son expiration, et remettez une copie au propriétaire. La prochaine personne qui touchera ce réseau lira le registre, pas votre souvenir de la conversation.