Akses VPN pelanggan: beri pekerjaan berhak istimewa perangkatnya sendiri

Profil koneksi bertuliskan Production, terowongan menyala, dan setiap jendela di desktop kini dapat menjangkau sistem pelanggan. Tidak ada apa pun dalam urutan itu yang memisahkan sesi berhak istimewa dari tab peramban di sebelahnya. Profil VPN adalah nama plus sekumpulan rute; batas yang benar-benar Anda pedulikan dibangun dari identitas perangkat, lingkungan eksekusi yang terkendali, dan jalur kredensial. Ketiganya diberlakukan di tempat berbeda, karena itu menambahkan satu dan melewatkan yang lain menghasilkan rancangan yang tampak patuh padahal tidak.

Nama profil bukan batas

Klien menerapkan rute dan konfigurasi DNS saat terowongan menyala, dan apa pun yang berjalan di mesin itu sesudahnya mewarisi keduanya.

Nama di daftar tarik-turun mengubah apa yang dikenali operator, bukan apa yang diizinkan sistem operasi.

Identitas perangkat adalah yang dapat diperiksa gateway

Gateway yang mendukung sertifikat perangkat atau pemeriksaan postur mengautentikasi mesin sekaligus orangnya. Lapisan itulah yang dapat menolak koneksi dari laptop tak terkelola sebelum siapa pun mengetik kata sandi. Lapisan itu juga memberi Anda sesuatu yang konkret untuk dicabut saat perangkat hilang. Menyalin satu sertifikat ke tiga mesin menghapus tepat sifat itu, karena itu daur hidup sertifikat termasuk dalam perjanjian, bukan dalam folder bersama.

Pelanggan memutuskan kontrol mana yang dituntut kebijakannya, dan mesin virtual buatan pemasok mungkin sama sekali tidak memenuhi pemeriksaan postur.

Di mana batas VM bocor

Mesin virtual menyimpan alat pelanggan dan keadaan jaringan bersama-sama, dan itu sungguh berguna. Namun mesin itu juga bergantung pada host dan hypervisor-nya, dan beberapa kemudahan melewati garis: folder bersama, integrasi papan klip, agen kredensial, dan akses manajemen tingkat host. Tamu berhak istimewa pada host yang dipakai sehari-hari tidak dapat dipercaya secara mandiri, karena host dapat mengamati apa yang dilakukan tamu. Perlakukan VM sebagai kontrol yang mengurangi paparan, bukan sebagai domain keamanan terpisah.

Perangkat fisik khusus menghapus ketergantungan pada host dan menambahkan kewajiban pemeliharaan sebagai gantinya.

Kredensial dan jalur transfer

Gunakan identitas perorangan yang dapat dicabut per insinyur dan per pelanggan, dan jauhkan dari profil peramban pribadi serta riwayat obrolan. Kredensial yang dibagi seluruh tim tidak dapat diatribusikan, dirotasi, atau dicabut dengan bersih. Tetapkan jalur transfer untuk alat, berkas, dan keluaran diagnostik sebelum sesi pertama, karena pemindahan berkas secara dadakan adalah cara sebuah batas diam-diam berhenti menjadi batas. Jika dua pelanggan harus dijangkau pada waktu yang sama, mintalah persetujuan pemisahan jaringan dan identitas lebih dulu.

Jangan pernah menjembatani dua jaringan pelanggan melalui satu stasiun kerja hanya karena itu nyaman sore itu.

Perjanjian yang membuatnya dapat diulang

Tulis catatan singkat per pelanggan dan simpan di tempat kedua pihak dapat menemukannya. Catatan itu harus menyebut perangkat atau lingkungan jarak jauh yang disetujui dan siapa yang merawatnya, identitas yang diizinkan, sistem dan operasi yang boleh dijangkau, jalur transfer, dan cara biasa sebuah sesi berakhir.

Lima baris yang ditinjau seseorang saat orang masuk atau keluar mengalahkan kebijakan yang tidak dapat diterapkan siapa pun:

• Perangkat atau lingkungan jarak jauh yang disetujui, dengan pemilik pemeliharaan yang disebut namanya.
• Identitas pengguna dan perangkat perorangan yang diizinkan untuk dukungan.
• Sistem dan operasi yang boleh dijangkau identitas tersebut.
• Jalur yang diizinkan untuk alat, berkas, dan keluaran diagnostik.
• Proses pengakhiran sesi dan alternatif darurat yang sah.

Akses darurat tanpa memindahkan kredensial

Ketika sebuah kontrol menghalangi perbaikan mendesak, jalurnya adalah proses pengecualian, bukan laptop kedua yang membawa kredensial yang sama. Pengecualian yang disetujui mencatat siapa yang mengesahkannya, apa yang dilonggarkan, dan kapan berakhir. Memindahkan kredensial ke mesin sehari-hari mengubah batas pada saat terburuk, dan biasanya sesudahnya tetap berubah. Jalur darurat layak diuji selagi tidak ada yang rusak.

Lalu akhiri sesi seperti yang dikatakan perjanjian, dan pastikan akses benar-benar berhenti.