Blokkearret de VPN-apparatustastânkontrôle net? Folgje earst it rapport
Jo einpuntagent rapportearret in sûne tastân, dochs de ynterne app iepenet noch. Rin de samler, it oardiel en de blokkade troch, en bewize dan de wegering mei ien fersyk.
As in laptop wêrfan't de antivirus-ûndertekeningen wiken lyn opholden binne mei bywurkjen noch jo ynterne app iepenje kin, is it beliedsdokumint selden it ding dat ferkeard is. Trije aparte systemen moatte it iens wêze foar't tagong wegere wurdt: eat mjit it einpunt, eat ferbout dy mjitting ta in oardiel tastean of wegerje, en eat smyt it ferkear echt fuort. As in net-ynfoldwaand apparaat dochs binnenkomt, ûntbrekt krekt ien fan dy skakels of fertrout it bewiis dat it net fertrouwe moat. De kontrôles hjirûnder rinne yn dy folchoarder, en elk hat in stopje.
De blokkade is de lêste stap, net de earste
Autentikaasje en apparaatstastân beantwurdzje ferskillende fragen. In slagge oanmelding bewiist dat in bewiisstik oanbean is; it seit neat oer de software dy't draait op de masine dy't it oanbean hat. Krekt dat gat lit in kopiearre klantprofyl in sûn-lykjende sesje nei in net-sûne host bringe.
It wurk oan einpuntkonformiteit hat al in wurdskat foar dy keten. It ynformative NEA-referinsjemodel yn RFC 5209 ferdielt de taak yn in samler, in beoardielingsstap en in hanthaveningspunt, en seit dúdlik dat in klant dy't ljocht oer syn eigen tastân stiet bûten it model. Dat foarbehâld is wichtiger as it diagram: in fertroud platfoarmmodule makket in sels rapportearre mjitting gjin feit.
Hâld de samler earlik oer de omfang. Hy moat de attributen rapportearje dy't jo belied neamt, op it apparaat dat tagong freget, en min oars. In ynventarisagent dy't elk ynstallearre pakket listet is in oar helpmiddel as in tastânssamler, en it ferskil is tagelyk in bewar- en in krektensprobleem. As it rapport net oan ien apparaatidentiteit bûn wurde kin, gisedet de beoardieler hokker masine er krekt goedkard hat.
In dashboard dat in reade tastân sjen lit is gjin kontrôle. Freegje wat in wegere brûker noch berikke kin: de wiki, de dielde map, de databasepoarte? Reparaasje hat ien smel oerflak nedich, en al it oare heart efter de blokkade.
Lês it rapport foar't jo de regel lêze
Begjin by de boarne ynstee fan by it griene flakje fan 'e klant. Op Windows komt de lokale mjitting fan Defender of fan it produkt dat him by it Security Center registrearre hat, en beide binne lêsber sûnder leveransierskonsole:
Get-MpComputerStatus | Select-Object AMServiceEnabled, RealTimeProtectionEnabled, AntivirusSignatureLastUpdated
Get-CimInstance -Namespace root/SecurityCenter2 -ClassName AntiVirusProduct | Select-Object displayName, productStateIt twadde kommando jout in hiel getal werom mei de namme productState. De bits binne los dokumintearre en leveransiers pakkje de aktivearrings- en aktualiteitsflaggen ferskillend, dus befêstigje it ynstee fan it te ûntleden. Tredepartijpakketten litte ek de Security Center-ynfier efter nei de-ynstallaasje, en dy rapportearret oer software dy't net mear op 'e skiif stiet.
Leeftyd is it fjild dat minsken oerslaan. In tiidstimpel fan in ûndertekening betsjut allinnich eat tsjin de klok fan 'e masine dy't de beoardieling docht, dus konvertearje it nei in ynterval ynstee fan it op it each te skatten:
$sig = (Get-MpComputerStatus).AntivirusSignatureLastUpdated
[int](New-TimeSpan -Start $sig -End (Get-Date)).TotalHoursNo hat it belied ien getal om te lêzen. As jo regel 72 oeren seit, is dat it getal dat it brûkt, en in laptop dy't in wike sliept falt ôf sûnder dat immen in label ynterpretearret. Skriuw de drompel njonken it kommando, want de twa driuwe útinoar as it einpunthulpmiddel ferfongen wurdt.
Feroarje elke apparaatstastân yn in skriftlik oardiel
De measte skelen oer tastân binne eins skelen oer de ûnbekende rige. Beslis it foar it earste ynsidint, yn in tabel dy't it bewiis, it oardiel en de eigner neamt, sadat nimmen by de poarteconsole ymprovisearret.
| Evidence the assessor has | Verdict | What it protects against |
|---|---|---|
| Timestamp inside the policy window, protective service running | Admit to normal applications | Nothing yet; the other checks still apply |
| Timestamp older than the window | Deny, admit remediation page only | Signature rollback and dormant laptops |
| Service disabled or reporting off | Deny, escalate to the endpoint owner | An agent reporting stale success |
| No report at all for this session | Treat as deny, never as healthy | Agents that fail open under load |
De ûnderste rige is dêr't produkten ferskille. Guon poarten wegerje de ferbining en ferklearje wêrom; oaren litte de tunnel omheech komme en tapasse in beheind belied; in pear falle werom op it lêst bekende goede rapport. Allinnich de earste twa binne ferdigenber, en it is de muoite wurdich te testen hokker jores docht.
Hâld identiteit en tastimming ek yn har eigen spoaren. In laptop dy't elke tastânstest trochstiet hat noch altyd de juste minsklike autorisaasje foar de app nedich, en in apparaatsertifikaat bewiist besit fan in kaai, net de tastân fan it bestânssysteem. De trije yn ien boolean drukke is hoe't in helpdesk-account permaninte tagong ta produksje kriget.
Kontrolearje it hanthaveningspaad mei in fersyk, net in dashboard
Hanthavening is in eigenskip fan in fersyk, dus mjit it mei ien. Set in net-ynfoldwaand masine op 'e tunnel en doch de oprop dy't in echte brûker dwaan soe:
curl -sS -o /dev/null -w '%{http_code}
' --max-time 5 https://app.internal.example/healthIn 200 fan in apparaat dat blokkearre wurde moat betsjut dat it beslút nea it gegevenspaad berikt hat. Twa gewoane oarsaken: it belied is keppele oan in groep dêr't it testaccount nea by kaam is, of de app is berikber oer in rûte dy't it VPN net besit.
Kontrolearje earst de routing-oanname. As de ynterne namme oplost nei in adres dêr't de klant al oer it lokale LAN by komt, is de tunnel irrelevant en sil gjin belied tapast wurde. Fergelykje dat adres mei de rûte dy't de poarte triuwt. Op OpenVPN libbet belied per klant yn bestannen basearre op 'e mienskiplike namme, dus it is maklik te ynspektearjen:
ls /etc/openvpn/ccd/
cat /etc/openvpn/ccd/laptop-17In bestân mei disable ûntkeppelt dy klant folslein, wylst in regel push "route ..." ferninget wat er berikke kin. Beide binne hanthavening, en beide binne sichtber foar wa't it rapport debugt.
Test de fjouwer gefallen op ien testaccount
De lêste kontrôle is in lytse matrix, net in gelokkige paad. Driuw ien testaccount troch fjouwer tastannen: aktueel, ferfallen ûndertekening, beskerming útskeakele, agent net ynstallearre. Skriuw foar elk it oardiel yn it beoardielingsloch, de HTTP-status dy't de app weromjout, en oft de reparaasjepagina laden is.
foreach ($case in 'current', 'stale', 'disabled', 'absent') {
Get-MpComputerStatus | Select-Object AMServiceEnabled, AntivirusSignatureLastUpdated
curl.exe -sS -o NUL -w "%{http_code}
" --max-time 5 https://app.internal.example/health
}Twa details wurde maklik mist. Earst werhelling: in rapport dat fêstlein is doe't de masine sûn wie mei net akseptearre wurde foar in lettere sesje op itselde apparaat, dus sykje in tiidstimpel bûn oan 'e hjoeddeiske ferbining. Dan fuortheljen: it de-ynstallearjen fan 'e agent moat deselde wegering jaan as in ferâldere rapport, net in skjinne trochgong, en dat is it gefal dat it meast nea teste wurdt.
As de matrix by de tabel past, jou dan trije dingen oan wa't de poarte dêrnei draait: de kommando's, de drompel en de fjouwer ferwachte útkomsten. Krekt dy oerdracht is de echte levering, want in tastânsûntwerp dat allinnich yn in beliedsdokumint libbet driuwt de earste kear ôf as it einpunthulpmiddel syn rapportfjild feroaret.