Egy eszköz blokkolása a VPN-ből a teljes fiók letiltása nélkül

Egy alkalmazott, két laptop, és csak az egyiküknek kell elveszítenie a hozzáférést. A fiók letiltása a kézenfekvő kar, de rossz hatókört büntet, míg a végponton mentett profil törlése javaslat, nem ellenőrzés. A döntés három feltételre vezethető vissza: létezik-e olyan eszközidentitás, amelyet a VPN ellenőrizni tud, kiértékeli-e ezt az adott kapcsolat valóban, és mit szeretne, hogy történjen az eszközzel, nem pedig a személlyel. Válaszoljon rájuk ebben a sorrendben, és a kényszerítés általában magától kiválasztódik.

Első feltétel: vannak-e olyan eszközbizonyítékok, amelyeket a VPN ellenőrizni tud?

A forrás cím az irodai NAT mögött megosztott, és mobilhálózatokon változik. A gazdagépnév az, amit az eszköz állít, a MAC-cím triviálisan hamisítható, és a beállításjegyzék-értéket bármi írhatja, aminek helyi jogai vannak. Ezek egyike sem identitás, amíg valami nem ellenőrzi. A külön regisztrált eszközhitelesítő adat, például az adott végpontnak kiállított tanúsítvány, az egyetlen lehetőség, amely a visszavonásnak a felhasználói fióknál szűkebb célpontot ad.

A hitelesítő adat csak akkor számít, ha a kapcsolat azzal hitelesít, és minden kísérletnél érvényesíti a láncot. A gép tárolójában heverő fájl semmit nem bizonyít.

Második feltétel: kiértékeli ezt ez a kapcsolat?

A végpontattribútumok nem univerzálisak. Egy ASA-n a Cisco ASDM DAP útmutatója elválasztja a felhasználói AAA-információt a végpontértékelési attribútumoktól, és hogy mely attribútumok érhetők el, a használt távoli hozzáférési protokolltól, a telepített posture-eszközöktől és a licenctől függ. A beállításjegyzék-ellenőrzéshez támogatott gyűjtési útvonal kell, és még akkor is azt jelenti, amit a végponteszköz látott, nem azt, hogy a gép az, amelyben megbízik.

A gyakorlati kérdés tehát szűk: ezen az alagúton, ezzel a klienssel és ezzel a posture-ügynökkel melyik attribútum érkezik kitöltve és megbízhatóan? Ha a válasz az, hogy egyik sem, a rá írt házirend semmire vagy mindenre illeszkedik, és mindkét kimenet rosszabb, mint az a fiókzár, amelyet el akart kerülni.

Harmadik feltétel: elutasítás, helyreállítás vagy szűkebb hozzáférés?

Három kimenet érhető el, és nem felcserélhetők. Lezárhatja a munkamenetet, ami teljesen megszünteti a hozzáférést; karanténba helyezheti az eszközt olyan állapotba, amelyben csak helyreállítási erőforrásokat ér el; vagy hagyhatja a munkamenetet, és a hozzáférési ACL-jét leszűkítheti arra a néhány dologra, amelyre az eszköznek még szüksége van. A DAP munkamenet-műveletek és az erőforrás-ACL-ek különböző kérdésekre válaszolnak, ezért a választás arról szól, mennyi járulékos kárt kell a személynek elviselnie.

Egy elveszett vagy ellopott laptop esetében a válasz általában a lezárás. Egy posture-ellenőrzésen megbukott gépnél a helyreállítás kedvesebb és ugyanolyan hatékony.

Döntse el, mi történik, ha hiányoznak a bizonyítékok

Az alapértelmezett útvonal többet számít, mint a jó esetre írt szabály. Ha a várt attribútum soha nem érkezik meg, mert a posture-ügynök hibás, a kötelezővé tevő házirend olyan alapértelmezésre eshet, amely beengedi a munkamenetet. Olvassa el az alapértelmezett eredményt, és szándékosan tesztelje a bizonyíték nélküli esetet, mert az ügynököt eltávolító támadó ezt az állapotot fogja bemutatni.

A több egyező DAP-rekord aggregálódik, nem pedig egyszerű első egyezés szerinti sorrend dönti el, és az ACL-prioritásuk a rekordválasztástól külön mechanizmus. Olvassa el az útmutató aggregációról szóló leírását, mielőtt feltételezné, hogy a szigorúbb rekord nyer.

Kezelje a már létező munkameneteket, majd tesztelje mindkét eszközt

Egy belépési szabály módosítása vagy egy hitelesítő adat visszavonása nem írja le, mi történik egy már létrejött, forgalmat átvivő munkamenettel. Ha az azonnali eltávolítás a követelmény, kövesse a megvalósítás által támogatott munkamenet-lezárási és újraértékelési eljárást, ahelyett hogy a következő újracsatlakozásra várna. Ez a lépés marad el leggyakrabban egy incidens során, és ez a különbség a házirend és az eredmény között.

Teszteljen ugyanazzal az engedélyezett felhasználóval mindkét gépen egy jóváhagyott ellenőrzés keretében. A blokkolt eszköznek pontosan a szándékolt elutasítást vagy helyreállítási kimenetet kell kapnia, a másiknak pedig csak a jogosult erőforrásait kell megtartania. Ez ellenőrzi az eszközhatárt anélkül, hogy visszavonná a személy más jóváhagyott hozzáférését.

Ha nem tudja ezt a két kimenetet különbözővé tenni, a probléma a bizonyítékokban van, nem a házirendben, és semmilyen szabályhangolás nem fogja megjavítani.