Blokir satu perangkat dari VPN tanpa menonaktifkan seluruh akun

Satu karyawan, dua laptop, dan hanya satu di antaranya yang harus kehilangan akses. Menonaktifkan akun adalah tuas yang jelas, tetapi menghukum cakupan yang salah, sedangkan menghapus profil tersimpan di endpoint hanyalah saran, bukan kendali. Keputusan bermuara pada tiga syarat: apakah ada identitas perangkat yang dapat diverifikasi VPN, apakah koneksi tertentu ini benar-benar menilainya, dan apa yang Anda inginkan terjadi pada perangkat, bukan pada orangnya. Jawablah dalam urutan itu dan penegakannya biasanya memilih sendiri.

Syarat pertama: adakah bukti perangkat yang dapat diverifikasi VPN?

Alamat sumber dibagi di belakang NAT kantor dan berubah di jaringan seluler. Nama host adalah apa pun yang diklaim perangkat, alamat MAC mudah dipalsukan, dan nilai registri dapat ditulis oleh apa pun yang memiliki hak lokal. Tidak satu pun dari itu adalah identitas sampai ada yang memverifikasinya. Kredensial perangkat yang terdaftar terpisah, seperti sertifikat yang diterbitkan untuk endpoint itu, adalah satu-satunya opsi yang memberi pencabutan target lebih sempit daripada akun pengguna.

Kredensial hanya berlaku jika koneksi mengautentikasi dengannya dan memvalidasi rantainya pada setiap percobaan. Berkas yang tergeletak di penyimpanan mesin tidak membuktikan apa pun.

Syarat kedua: apakah koneksi ini menilainya?

Atribut endpoint tidak universal. Pada ASA, panduan ASDM DAP Cisco memisahkan informasi AAA pengguna dari atribut penilaian endpoint, dan atribut mana yang tersedia bergantung pada protokol akses jarak jauh yang dipakai, perkakas posture yang diterapkan, dan lisensi. Pemeriksaan registri memerlukan jalur pengumpulan yang didukung, dan bahkan saat itu ia melaporkan apa yang dilihat perkakas endpoint, bukan bahwa mesin itulah yang Anda percaya.

Jadi pertanyaan praktisnya sempit: pada tunnel ini, dengan klien ini dan agen posture ini, atribut mana yang datang terisi dan tepercaya? Jika jawabannya tidak ada, kebijakan yang ditulis terhadapnya akan cocok dengan tidak ada atau cocok dengan segalanya, dan kedua hasil itu lebih buruk daripada kunci akun yang Anda hindari.

Syarat ketiga: penolakan, remediasi, atau akses lebih sempit?

Ada tiga hasil yang tersedia dan tidak dapat dipertukarkan. Anda dapat mengakhiri sesi, yang menghapus akses sepenuhnya; Anda dapat mengarantina perangkat ke keadaan yang hanya dapat mencapai sumber daya remediasi; atau Anda dapat membiarkan sesi dan memangkas ACL sumber dayanya menjadi beberapa hal yang masih dibutuhkan perangkat itu. Tindakan sesi DAP dan ACL sumber daya menjawab pertanyaan berbeda, jadi pilihannya adalah tentang seberapa besar kerusakan sampingan yang harus diserap orang tersebut.

Untuk laptop yang hilang atau dicuri, jawabannya biasanya pengakhiran. Untuk mesin yang gagal dalam pemeriksaan posture, remediasi lebih ramah dan sama efektifnya.

Putuskan apa yang terjadi saat bukti tidak ada

Jalur default lebih penting daripada aturan yang Anda tulis untuk kasus baik. Jika atribut yang diharapkan tidak pernah datang karena agen posture rusak, kebijakan yang mensyaratkannya dapat jatuh ke default yang mengizinkan sesi. Bacalah hasil default dan uji kasus tanpa bukti dengan sengaja, karena itulah keadaan yang akan ditampilkan penyerang yang mencabut agen.

Beberapa catatan DAP yang cocok diagregasi, bukan diselesaikan dengan urutan kecocokan pertama yang sederhana, dan prioritas ACL-nya adalah mekanisme terpisah dari pemilihan catatan. Bacalah penjelasan agregasi dalam panduan sebelum menganggap catatan yang lebih ketat menang.

Tangani sesi yang sudah ada, lalu uji kedua perangkat

Mengubah aturan penerimaan atau mencabut kredensial tidak menjelaskan apa yang terjadi pada sesi yang sudah terbentuk dan melewatkan lalu lintas. Jika penghapusan segera menjadi syarat, ikuti prosedur pengakhiran dan evaluasi ulang sesi yang didukung implementasi alih-alih menunggu penyambungan ulang berikutnya. Inilah langkah yang paling sering dilewati saat insiden, dan inilah perbedaan antara kebijakan dan hasil.

Ujilah dengan pengguna yang diizinkan sama pada kedua mesin di bawah pemeriksaan yang disetujui. Perangkat yang diblokir harus menerima tepat penolakan atau hasil remediasi yang dimaksud, dan yang lain harus mempertahankan hanya sumber daya yang diotorisasi. Itu memverifikasi batas perangkat tanpa mencabut akses lain yang disetujui orang tersebut.

Jika Anda tidak dapat membuat kedua hasil itu berbeda, masalahnya ada pada bukti, bukan kebijakan, dan tidak ada penyetelan aturan yang akan memperbaikinya.