Blokirajte jedan uređaj s VPN-a bez onemogućavanja cijelog računa

Jedan zaposlenik, dva prijenosna računala i samo jedan od njih mora izgubiti pristup. Onemogućavanje računa očita je poluga, ali kažnjava pogrešan opseg, dok je brisanje spremljenog profila na krajnjoj točki prijedlog, a ne kontrola. Odluka se svodi na tri uvjeta: postoji li identitet uređaja koji VPN može provjeriti, procjenjuje li ta konkretna veza taj identitet i što želite da se dogodi uređaju, a ne osobi. Odgovorite na njih tim redom i provođenje se obično samo odabere.

Prvi uvjet: postoje li dokazi o uređaju koje VPN može provjeriti?

Izvorna adresa dijeli se iza uredskog NAT-a i mijenja se na mobilnim mrežama. Naziv hosta je ono što uređaj tvrdi, MAC adresa se trivijalno lažira, a vrijednost u registru može upisati bilo što s lokalnim pravima. Ništa od toga nije identitet dok to nešto ne provjeri. Zasebno registrirana vjerodajnica uređaja, poput certifikata izdanog toj krajnjoj točki, jedina je opcija koja opozivu daje metu užu od korisničkog računa.

Vjerodajnica se računa samo ako se veza njome autentificira i provjerava lanac pri svakom pokušaju. Datoteka koja stoji u spremištu stroja ne dokazuje ništa.

Drugi uvjet: procjenjuje li ta veza to?

Atributi krajnje točke nisu univerzalni. Na ASA, Ciscoov vodič ASDM DAP odvaja korisničke AAA informacije od atributa procjene krajnje točke, a dostupnost atributa ovisi o korištenom protokolu za daljinski pristup, instaliranim posture alatima i licenciji. Provjera registra zahtijeva podržanu putanju prikupljanja, pa i tada izvješćuje što je alat krajnje točke vidio, a ne da je stroj onaj kojemu vjerujete.

Zato je praktično pitanje usko: na ovom tunelu, s ovim klijentom i ovim posture agentom, koji atribut dolazi popunjen i pouzdan? Ako je odgovor nijedan, politika napisana protiv njega odgovarat će ničemu ili svemu, a oba su ishoda gora od zaključavanja računa koje ste izbjegavali.

Treći uvjet: odbijanje, popravak ili uži pristup?

Dostupna su tri ishoda i nisu zamjenjivi. Možete prekinuti sesiju, što potpuno uklanja pristup; možete staviti uređaj u karantenu u stanje u kojem doseže samo resurse za popravak; ili možete ostaviti sesiju i skratiti njezin ACL resursa na nekoliko stvari koje taj uređaj još treba. DAP radnje sesije i ACL-ovi resursa odgovaraju na različita pitanja, pa se izbor odnosi na to koliko popratne štete osoba treba podnijeti.

Za izgubljeno ili ukradeno prijenosno računalo odgovor je obično prekid. Za stroj koji nije prošao posture provjeru, popravak je blaži i jednako djelotvoran.

Odlučite što se događa kada dokazi nedostaju

Zadana putanja važnija je od pravila koje ste napisali za dobar slučaj. Ako očekivani atribut nikada ne stigne jer je posture agent pokvaren, politika koja ga zahtijeva može propasti na zadanu vrijednost koja propušta sesiju. Pročitajte zadani rezultat i namjerno testirajte slučaj bez dokaza, jer to je stanje koje će predstaviti napadač koji ukloni agenta.

Više podudarnih DAP zapisa agregira se, a ne rješava jednostavnim redoslijedom prvog podudaranja, a njihov ACL prioritet odvojen je mehanizam od odabira zapisa. Pročitajte opis agregacije u vodiču prije nego pretpostavite da stroži zapis pobjeđuje.

Riješite sesije koje već postoje, zatim testirajte oba uređaja

Promjena pravila prijema ili opoziv vjerodajnice ne opisuje što se događa sa sesijom koja je već uspostavljena i propušta promet. Ako je potrebno trenutno uklanjanje, slijedite proceduru prekida i ponovne procjene sesije koju implementacija podržava, umjesto da čekate sljedeće ponovno povezivanje. To je korak koji se najčešće preskače tijekom incidenta i to je razlika između politike i ishoda.

Testirajte s istim dopuštenim korisnikom na oba stroja pod odobrenom provjerom. Blokirani uređaj treba dobiti točno predviđeno odbijanje ili ishod popravka, a drugi zadržati samo svoje ovlaštene resurse. To provjerava granicu uređaja bez opoziva drugog odobrenog pristupa osobe.

Ako ne možete učiniti ta dva ishoda različitima, problem je u dokazima, a ne u politici, i nikakvo podešavanje pravila to neće popraviti.