A VPN-útvonal nem ad távoli bejelentkezést a Mac gépedre

A munkahelyi VPN-hez csatlakozás önmagában semmit sem mond arról, hogy valaki be tud-e jelentkezni a Mac gépedre máshonnan. Három külön dolognak kell egybeesnie: egy hálózati útvonalnak, amely eléri a gépet, egy futó hozzáférési szolgáltatásnak, és egy adott fiók engedélyének arra, hogy ezt a szolgáltatást használja. Az alagút csak az elsőt biztosítja. Az oldalon minden más arról szól, hogyan ellenőrizd a másik kettőt anélkül, hogy a választ adottnak vennéd.

Kezdd azzal a szolgáltatással vagy telepített komponenssel, amely távoli hozzáférést biztosítana, és ne a menüsor kapcsolódott állapotjelzőjéből következtess rá.

Három ellenőrzés, amelyet az emberek egybeolvasztanak

Az elérhetőség arra válaszol, hogy a csomagok megérkezhetnek-e. Egy megosztási szolgáltatás arra válaszol, hogy hallgat-e valami a gépen. Az engedélyezés arra válaszol, hogy mely identitásokat fogad el a szolgáltatás, és mire nyúlhatnak, miután bejutottak. A VPN megváltoztathatja az első választ anélkül, hogy a másik kettőhöz hozzányúlna, és éppen ezért termel a kérdés folyton rossz következtetéseket mindkét irányban.

Az Apple Remote Loginról szóló útmutatása jó konkrét példa erre a szétválasztásra, mert meghatározott helyen él, és saját fiókválasztásokat hordoz. A System Settings, General, Sharing alatt található, és az SSH- és SFTP-hozzáférést írja le engedélyezett felhasználók kiválasztásával. A távoli felhasználók teljes lemezhozzáférése megint külön opció, ami megerősíti a lényeget: egy szolgáltatás bekapcsolása nem ugyanaz, mint minden képesség megadása, amelyet a szolgáltatás kínálhat.

Ellenőrizd, mi van valójában bekapcsolva

Járd végig a Sharing panelt, és jegyezz fel minden bekapcsolt szolgáltatást, ne csak azt, amelyet vártál. A Remote Login, a Screen Sharing és a File Sharing mind más felületet nyit, és mindegyiknek saját felhasználói listája van. Az SSH-hoz tartozó beállítás semmit sem mond a képernyőmegosztásról, és egy megosztási funkció jelenléte az operációs rendszerben semmit sem mond arról, használta-e valaki.

Utána készíts leltárt arról, mi más adhat hozzáférést: egy harmadik féltől származó távoli támogató ügynök, a regisztráció során telepített kezelőeszköz vagy egy képernyőmegosztó kiszolgáló, amelyet valami máshoz csomagoltak. Ezek nem jelennek meg a Sharing panelen, és éppen ezeket a komponenseket felejtik el az emberek, amikor egy laptopot auditálnak. Írj fel minden ügynököt, amelyet nem tudsz azonosítani, mert egy ismeretlen folyamat hallgató porttal érdekesebb, mint egy ismert anélkül. Az ismeretlenek rövid listája jobb, mint egy magabiztos következtetés, amely arra az egyetlen panelre épül, amelyet véletlenül megnyitottál.

Kérdezd meg a rendszergazdát, mit telepített a regisztráció

Ha a munkahelyi regisztráció konfigurációs profilt, rendszergazdai jóváhagyást vagy további szoftvert tartalmazott, kérd meg a kezelőjét, hogy válaszoljon három dologra: mely komponensek telepítődtek, milyen engedélyeik vannak, és mi marad aktív, miután lecsatlakozol. Egy VPN-útvonal és egy kiemelt végpontügynök nagyon különböző képességekkel bír, és általában csak az egyikük látható a felhasználó számára.

Egy engedélyezett távoli támogatási megállapodás esetén szerezd be a részleteket írásban: mely felhasználók jogosultak, milyen műveletek a szándékoltak, megjelenik-e megerősítő kérés, és hogyan távolítják el a megállapodást, amikor a munka véget ér. Ne adj minden felhasználónak hozzáférést vagy széles lemezengedélyeket csak azért, hogy kipróbáld, tud-e csatlakozni a támogatás, mert az a teszt véglegesen szélesíti a határt.

Ha olyan bizonyítékot találsz, amelyre nem számítottál

Egy ismeretlen kapcsolati napló vagy egy bekapcsolt kapcsoló nyom, nem bizonyíték egy adott személy tevékenységére. Őrizd meg a releváns, nem titkos eseményeket, jegyezd fel az időpontokat, és a szervezet vagy a platform incidensfolyamatát használd ahelyett, hogy szembeszállnál valakivel vagy bizonyítékokat törölnél abban a reményben, hogy magától megoldódik.

Egy kezelt eszközön kérd meg a tulajdonosát, hogy nézze át a javasolt változásokat, mielőtt kikapcsolsz egy szabályzat által megkövetelt ellenőrzést. Egy munkahelyi hálózathoz csatlakozó személyes eszközön kérj világos regisztrációs határt és támogatott kilépési eljárást, beleértve azt is, mi törlődik és mi marad.

A hasznos válasz megnevezi a mechanizmust és a mögötte álló felhatalmazást. Soha nem ígér sem korlátlan munkáltatói hozzáférést, sem teljes biztonságot egy alagút címkéje miatt, és nem keveri össze az útvonalat a bejelentkezéssel.