VPN սարքի վիճակի ստուգումը չի՞ արգելափակում, նախ հետևեք հաշվետվությանը
Ձեր վերջնակետային գործակալը հաղորդում է առողջ վիճակ, սակայն ներքին հավելվածը դեռ բացվում է։ Անցեք հավաքիչի, վճռի և արգելափակման միջով, ապա ապացուցեք մերժումը մեկ հարցումով։
Եթե նոութբուքը, որի հակավիրուսային ստորագրությունները շաբաթներ առաջ դադարել են թարմացվել, դեռ կարող է բացել ձեր ներքին հավելվածը, ապա քաղաքականության փաստաթուղթը հազվադեպ է այն, ինչ սխալ է։ Մուտքը մերժելուց առաջ երեք առանձին համակարգեր պետք է համաձայնեն՝ ինչ-որ բան չափում է վերջնակետը, ինչ-որ բան այդ չափումը դարձնում է թույլատրել կամ մերժել վճիռ, և ինչ-որ բան իրականում գցում է երթևեկությունը։ Երբ ոչ համապատասխան սարքը միևնույն է ներս է մտնում, ճշգրիտ այդ օղակներից մեկը բացակայում է կամ վստահում է ապացույցների, որոնց չպետք է։ Ստորև բերված ստուգումները գնում են այդ հերթականությամբ, և յուրաքանչյուրն ունի կանգառի կետ։
Արգելափակումը վերջին քայլն է, ոչ առաջինը
Նույնականացումը և սարքի վիճակը պատասխանում են տարբեր հարցերի։ Հաջող մուտքը ապացուցում է, որ ներկայացվել է հավատարմագիր, այն ոչինչ չի ասում այն մեքենայի վրա աշխատող ծրագրաշարի մասին, որը ներկայացրել է այն։ Հենց այս ճեղքն է թույլ տալիս պատճենված հաճախորդի պրոֆիլին առողջ տեսք ունեցող սեսիան տեղափոխել ոչ առողջ հյուրընկալողի վրա։
Վերջնակետերի համապատասխանության աշխատանքն արդեն ունի այս շղթայի բառարան։ RFC 5209-ի NEA հղման մոդելը առաջադրանքը բաժանում է հավաքիչի, գնահատման քայլի և կիրառման կետի, և հստակ ասում է, որ իր իսկ վիճակի մասին ստող հաճախորդը մոդելից դուրս է։ Այս վերապահումն ավելի կարևոր է, քան դիագրամը՝ վստահելի պլատֆորմի մոդուլը ինքնահաղորդված չափումը փաստ չի դարձնում։
Հավաքիչը պահեք ազնիվ շրջանակի հարցում։ Այն պետք է հաղորդի այն ատրիբուտները, որոնք անվանում է ձեր քաղաքականությունը, մուտք խնդրող սարքի վրա, և քիչ այլ բան։ Յուրաքանչյուր տեղադրված փաթեթ թվարկող գույքագրման գործակալն այլ գործիք է, քան վիճակի հավաքիչը, և տարբերությունը միաժամանակ պահպանման և ճշգրտության խնդիր է։ Եթե հաշվետվությունը հնարավոր չէ կապել մեկ սարքի ինքնության հետ, գնահատողը գուշակում է, թե որ մեքենային նա հենց նոր թույլ տվեց։
Կարմիր վիճակ ցույց տվող վահանակը վերահսկողություն չէ։ Հարցրեք՝ ինչի՞ կարող է դեռ հասնել մերժված օգտատերը՝ վիքի՞ն, ֆայլերի ընդհանուր պանակը՞, տվյալների բազայի պորտը՞։ Ուղղումը պահանջում է մեկ նեղ մակերես, և մնացած ամեն ինչ պատկանում է արգելափակման հետևում։
Կարդացեք հաշվետվությունը, նախքան կարդալ կանոնը
Սկսեք աղբյուրից, ոչ թե հաճախորդի կանաչ նշանից, և Windows-ում տեղական չափումը գալիս է Defender-ից կամ այն ապրանքից, որն ինքն իրեն գրանցել է Security Center-ում, և երկուսն էլ ընթեռնելի են առանց մատակարարի վահանակի։
Get-MpComputerStatus | Select-Object AMServiceEnabled, RealTimeProtectionEnabled, AntivirusSignatureLastUpdated
Get-CimInstance -Namespace root/SecurityCenter2 -ClassName AntiVirusProduct | Select-Object displayName, productStateԵրկրորդ հրահանգը վերադարձնում է productState անունով ամբողջ թիվ։ Նրա բիթերը թույլ փաստաթղթավորված են, և մատակարարները միացման ու արդիականության դրոշները տարբեր կերպ են փաթեթավորում, ուստի հաստատեք այն, այլ ոչ թե վերլուծեք։ Երրորդ կողմի փաթեթները նաև թողնում են Security Center-ի գրառումը տեղահանումից հետո, և այն հաղորդում է ծրագրաշարի մասին, որն այլևս սկավառակի վրա չէ։
Տարիքը այն դաշտն է, որը մարդիկ բաց են թողնում, և ստորագրության ժամադրոշմը նշանակում է ինչ-որ բան միայն գնահատում կատարող մեքենայի ժամացույցի համեմատ, ուստի այն դարձրեք միջակայք՝ աչքով գնահատելու փոխարեն։
$sig = (Get-MpComputerStatus).AntivirusSignatureLastUpdated
[int](New-TimeSpan -Start $sig -End (Get-Date)).TotalHoursԱյժմ քաղաքականությունն ունի ընթերցելու մեկ թիվ։ Եթե ձեր կանոնն ասում է 72 ժամ, սա այն թիվն է, որն այն օգտագործում է, և մեկ շաբաթ քնած նոութբուքը ձախողվում է առանց որևէ մեկի պիտակը մեկնաբանելու։ Կանոնի կողքին գրանցեք շեմը, որովհետև երկուսը հեռանում են իրարից, երբ վերջնակետային գործիքը փոխարինվում է։
Յուրաքանչյուր սարքի վիճակ դարձրեք գրավոր վճիռ
Վիճակի մասին վեճերի մեծ մասն իրականում անհայտ տողի մասին վեճ է։ Որոշեք այն առաջին դեպքից առաջ, աղյուսակում, որը նշում է ապացույցը, վճիռը և սեփականատիրոջը, որպեսզի ոչ ոք չիմպրովիզացնի դարպասի վահանակի մոտ։
| Evidence the assessor has | Verdict | What it protects against |
|---|---|---|
| Timestamp inside the policy window, protective service running | Admit to normal applications | Nothing yet; the other checks still apply |
| Timestamp older than the window | Deny, admit remediation page only | Signature rollback and dormant laptops |
| Service disabled or reporting off | Deny, escalate to the endpoint owner | An agent reporting stale success |
| No report at all for this session | Treat as deny, never as healthy | Agents that fail open under load |
Ներքևի տողն այն է, որտեղ ապրանքները տարբերվում են։ Որոշ դարպասներ մերժում են միացումը և բացատրում ինչու, մյուսները թույլ են տալիս թունելը բարձրանալ և կիրառում սահմանափակ քաղաքականություն, և քչերն ընկնում են վերջին հայտնի լավ հաշվետվության վրա։ Միայն առաջին երկուսն են պաշտպանելի, և արժե ստուգել, թե ձերն որն է անում։
Ինքնությունը և թույլտվությունը նույնպես պահեք իրենց գոտիներում։ Յուրաքանչյուր վիճակի փորձություն անցնող նոութբուքը դեռ կարիք ունի հավելվածի համար ճիշտ մարդկային լիազորման, և սարքի վկայականը ապացուցում է բանալու տիրապետում, ոչ թե ֆայլային համակարգի վիճակ։ Երեքը մեկ բուլյան արժեքի մեջ սեղմելը հենց այն ճանապարհն է, որով օգնության սպասարկման հաշիվը մշտական մուտք է ստանում արտադրություն։
Ստուգեք կիրառման ուղին հարցումով, ոչ վահանակով
Կիրառումը հարցման հատկություն է, ուստի չափեք այն մեկ հարցումով, և տեղադրեք ոչ համապատասխան մեքենան թունելի վրա ու կատարեք այն կանչը, որը կկատարեր իրական օգտատեր։
curl -sS -o /dev/null -w '%{http_code}
' --max-time 5 https://app.internal.example/healthԵթե այն սարքից, որը պետք է արգելափակվեր, գալիս է 200, դա նշանակում է, որ որոշումը երբեք չի հասել տվյալների ուղուն։ Երկու սովորական պատճառ՝ քաղաքականությունը կապված է խմբի հետ, որին փորձնական հաշիվը երբեք չի միացել, կամ հավելվածը հասանելի է երթուղով, որը VPN-ը չի տիրապետում։
Նախ ստուգեք երթուղման ենթադրությունը։ Եթե ներքին անունը լուծվում է հասցեի, որին հաճախորդն արդեն հասնում է տեղական LAN-ով, թունելն անկարևոր է, և ոչ մի քաղաքականություն չի կիրառվի։ Համեմատեք այդ հասցեն այն երթուղու հետ, որը հրում է դարպասը, իսկ OpenVPN-ում յուրաքանչյուր հաճախորդի քաղաքականությունն ապրում է ընդհանուր անունով բանալիավորված ֆայլերում, ուստի այն ստուգելը հեշտ է։
ls /etc/openvpn/ccd/
cat /etc/openvpn/ccd/laptop-17disable պարունակող ֆայլը լիովին անջատում է այդ հաճախորդին, մինչդեռ push "route ..." տողը նեղացնում է, թե ուր նա կարող է հասնել։ Երկուսն էլ կիրառում են, և երկուսն էլ տեսանելի են հաշվետվությունը վրիպազերծողին։
Փորձեք չորս դեպքերը մեկ փորձնական հաշվում
Վերջնական ստուգումը փոքր մատրիցա է, ոչ երջանիկ ուղի։ Փորձնական հաշիվն անցկացրեք չորս վիճակով՝ ընթացիկ, ժամկետանց ստորագրություն, պաշտպանությունն անջատված, գործակալը տեղադրված չէ։ Յուրաքանչյուրի համար գրանցեք վճիռը գնահատման մատյանում, HTTP կարգավիճակը, որը վերադարձնում է հավելվածը, և արդյոք բեռնվել է ուղղման էջը։
foreach ($case in 'current', 'stale', 'disabled', 'absent') {
Get-MpComputerStatus | Select-Object AMServiceEnabled, AntivirusSignatureLastUpdated
curl.exe -sS -o NUL -w "%{http_code}
" --max-time 5 https://app.internal.example/health
}Երկու մանրամասն հեշտ է բաց թողնել։ Նախ կրկնարկումը՝ մեքենայի առողջ ժամանակ գրանցված հաշվետվությունը չպետք է ընդունվի նույն սարքի ավելի ուշ սեսիայի համար, ուստի փնտրեք ընթացիկ միացմանը կապված ժամադրոշմ։ Ապա հեռացումը՝ գործակալի տեղահանումը պետք է առաջացնի նույն մերժումը, ինչ հնացած հաշվետվությունը, ոչ թե մաքուր անցում, և հենց այս դեպքն է, որ ամենից հաճախ երբեք չի փորձարկվում։
Երբ մատրիցը համընկնում է աղյուսակի հետ, երեք բան հանձնեք նրան, ով հաջորդիվ կվարի դարպասը՝ հրահանգները, շեմը և չորս սպասվող արդյունքները։ Հենց այս հանձնումն է իրական արդյունքը, որովհետև միայն քաղաքականության փաստաթղթում ապրող վիճակի ձևավորումը սայթաքում է առաջին անգամ, երբ վերջնակետային գործիքը փոխում է իր հաշվետվության դաշտը։