VPN selalu aktif: jalur, izin, dan sesi secara terpisah

Menjaga terowongan tetap terbuka sepanjang waktu adalah pilihan desain yang punya versi wajar dan versi lalai. Cabang yang membutuhkan aplikasi pusat sepanjang hari, ditambah tugas cadangan malam, punya alasan. Laptop yang tertinggal tersambung tiga hari di kamar hotel adalah kecelakaan.

Keduanya menampilkan ikon hijau yang sama, dan keduanya menjawab sama jika ditanya berapa lama terowongan menyala. Angka itu bukan yang menarik. Yang penting adalah apa yang dijaga koneksi tetap tersedia, untuk siapa, dan apa yang benar-benar mengakhirinya.

Tiga jam yang berjalan terpisah

Keadaan pertama adalah jalur. Terowongan dan kebijakannya membuat sekumpulan layanan dapat dijangkau, dan tautan tanpa lalu lintas dapat tetap siap untuk permintaan berikutnya. Berapa lama ia tetap siap adalah keputusan implementasi, bukan pewaktu universal.

Keadaan kedua adalah izin. Identitas atau perangkat yang diterima bisa diotorisasi memakai jalur itu. Otorisasi itu semestinya berubah ketika peran berubah, perangkat hilang, atau ada dugaan kompromi, dan tidak bergantung pada mengalirnya paket.

Keadaan ketiga adalah sesi milik aplikasi itu sendiri. Klien basis data, desktop jarak jauh, atau aplikasi web mengautentikasi secara terpisah dan menyimpan keadaannya sendiri. Menutup terowongan belum tentu mengakhiri salah satunya.

Tinjauan yang memperlakukan ketiganya sebagai satu pertanyaan berakhir dengan perdebatan soal pewaktu diam. Ketiganya bisa sehat atau rusak sendiri-sendiri, dan temuan pada satu sedikit berbicara tentang yang lain. Daftar periksa tiga baris lebih baik daripada debat soal satu nilai tunggu. Tulis jawaban untuk tiap keadaan secara terpisah.

Terowongan adalah jalur, bukan lencana

Terowongan yang terbentuk adalah bukti bahwa ada jalur terlindungi antara dua ujung. Itu bukan bukti bahwa setiap proses di balik ujung mana pun harus menjangkau setiap layanan di sisi lain.

Panduan kepercayaan nol NIST mengatakan hal yang sama dari arah lain: lokasi jaringan tidak semestinya diperlakukan sebagai kepercayaan tersirat. Tautan lokasi adalah fakta transportasi, dan izin satu host memakai satu aplikasi adalah keputusan terpisah dengan pemiliknya sendiri.

Rekan yang terkompromi masih dapat mencoba tindakan berbahaya melalui layanan yang boleh dijangkau. Penyaringan dan pemantauan mengurangi risiko tertentu tanpa menghapus akibat kompromi pada ujung. Rancang untuk jalur, dan otorisasi untuk layanan.

Membenarkan tautan lokasi permanen

Versi yang dapat dipertahankan dari selalu aktif menyebut tujuannya dengan tepat. Sumber mana, tujuan mana, arah mana, dan siapa pemilik tiap entri. Firewall cabang yang mengizinkan setiap host cabang ke setiap subnet pusat tidak mempertahankan tautan untuk tujuan bernama; ia mempertahankannya untuk apa pun yang nanti terpikir oleh seseorang.

Ketika rekan tidak dapat mencapai tingkat kepercayaan yang disyaratkan, sempitkan batas atau ubah pengaturannya. Bergantung pada pemutusan manual sesekali adalah kendali proses, dan kendali proses paling tidak andal justru ketika insiden membuatnya merepotkan.

Simpan pembenaran bersama konfigurasi. Pengecualian permanen dengan tujuan tertulis dapat ditinjau dan dicabut. Yang tanpa tujuan menjadi permanen secara bawaan.

Mengganti kunci bukan mencabut

Mengganti kunci sesuai jadwal memelihara siklus hidup perlindungan. Ia menyegarkan materi dan menjaga kerahasiaan. Namun tidak mencabut hak sebuah ujung.

Jika ujung masih menyimpan kredensial sah dan kebijakan akses yang menerimanya, negosiasi berikutnya memulihkan jalur yang diizinkan itu. Karena itu rotasi kunci tiap jam bukan jawaban atas perangkat yang hilang: perangkat yang hilang juga berotasi selama identitasnya masih dipercaya. Periksa hak sebelum jadwal. Rotasi adalah higiene, dan pencabutan adalah keputusan akses.

Pencabutan adalah mekanisme lain dengan latensinya sendiri: sertifikat yang dicabut, akun yang dinonaktifkan, grup yang diubah, aturan jaringan yang dihapus. Masing-masing berlaku pada titik berbeda, dan berperilaku berbeda bagi sesi yang sudah terbentuk.

Mengakhiri yang sudah berjalan

Tanyakan apa yang dilakukan implementasi terhadap sesi yang sudah terbentuk ketika akses dihapus. Ia bisa mengakhirinya, menunggu kedaluwarsa, atau menerapkan perilaku terdokumentasi di antaranya. Jangan menganggap perubahan penerimaan besok menutup koneksi aplikasi hari ini.

Untuk akses interaktif, letakkan batas sesi dan aturan diam di tangan pemilik identitas dan VPN, bukan hanya tim jaringan. Untuk layanan lokasi, tetapkan prosedur yang dipakai pemeliharaan, gangguan, atau insiden keamanan untuk mematikan akses.

Lalu uji tiga hasil: pekerjaan yang diizinkan masih berjalan, layanan tak terkait ditolak, dan prosedur penghapusan menghasilkan hasil terdokumentasi. Rancangan selalu aktif dapat diterima bila tujuan, otorisasi, dan kemampuan mematikannya semua tertulis dan dilatih. Jika tidak, ia adalah kemudahan yang melewati alasannya.