Loka á eitt tæki frá VPN án þess að slökkva á öllum reikningnum

Einn starfsmaður, tvær fartölvur og aðeins önnur þeirra á að missa aðgang. Að slökkva á reikningnum er augljós stöngin en hún refsar rangri umfangi, á meðan að eyða vistuðu sniði á endapunktinum er tillaga en ekki stjórnun. Ákvörðunin kemur niður á þrjú skilyrði: hvort til sé tækjaauðkenni sem VPN getur sannreynt, hvort þessi tiltekna tenging meti það í raun og hvað þú vilt að gerist við tækið frekar en við manneskjuna. Svaraðu þeim í þessari röð og framfylgdin velur sig yfirleitt sjálf.

Fyrsta skilyrði: eru til tækjagögn sem VPN getur sannreynt?

Upprunavistfang er deilt bak við NAT skrifstofunnar og breytist á farsímakerfum. Hýsilnafn er það sem tækið fullyrðir, MAC-vistfang er auðvelt að falsa og hægt er að skrifa gildi í skrá með hverju sem hefur staðbundin réttindi. Ekkert þessara er auðkenni fyrr en eitthvað sannreynir það. Sérstaklega skráð tækjaskírteini, eins og vottorð útgefið fyrir þann endapunkt, er eini kosturinn sem gefur afturköllun markmið sem er þrengra en notandareikningurinn.

Skírteinið gildir aðeins ef tengingin auðkennir sig með því og staðfestir keðjuna við hverja tilraun. Skrá sem liggur í geymslu vélarinnar sannar ekkert.

Annað skilyrði: metur þessi tenging það?

Eigindir endapunkts eru ekki algildar. Á ASA aðskilur ASDM DAP handbók Cisco AAA-upplýsingar notandans frá eigindum endapunktsmats, og hvaða eigindir eru tiltækar fer eftir fjaraðgangsprotokollinum sem er notaður, posture-tólunum sem eru sett upp og leyfinu. Skráaskoðun þarf studda söfnunarleið og jafnvel þá greinir hún frá því sem tólið á endapunktinum sá, ekki að vélin sé sú sem þú treystir.

Þannig að hagnýta spurningin er þröng: á þessum göngum, með þessum biðlara og þessum posture-umboðsmanni, hvaða eigind kemur fyllt og áreiðanleg? Ef svarið er engin, mun stefna sem er skrifuð gegn henni passa við ekkert eða allt, og báðar niðurstöðurnar eru verri en reikningslásinn sem þú forðaðist.

Þriðja skilyrði: höfnun, viðgerð eða þrengri aðgangur?

Þrjár niðurstöður eru í boði og þær eru ekki skiptanlegar. Þú getur stöðvað lotuna, sem fjarlægir aðgang alveg; þú getur sett tækið í sóttkví í ástand þar sem það nær aðeins viðgerðarauðlindum; eða þú getur látið lotuna standa og skorið auðlinda-ACL hennar niður í þá fáu hluti sem tækið þarf enn. DAP-lotuaðgerðir og auðlinda-ACL svara mismunandi spurningum, svo valið snýst um hversu mikinn aukaskapa manneskjan þarf að þola.

Fyrir týnda eða stolna fartölvu er svarið yfirleitt stöðvun. Fyrir vél sem féll á posture-skoðun er viðgerð mildari og jafn árangursrík.

Ákveddu hvað gerist þegar gögnin vantar

Sjálfgefin leið skiptir meira máli en reglan sem þú skrifaðir fyrir góða tilfellið. Ef vænta eigindin kemur aldrei því posture-umboðsmaðurinn er bilaður, getur stefna sem krefst hennar fallið í sjálfgefið sem hleypir lotunni inn. Lestu sjálfgefna niðurstöðu og prófaðu tilfellið án gagna viljandi, því það er ástandið sem árásarmaður sem fjarlægir umboðsmanninn mun sýna.

Margar samsvarandi DAP-færslur eru aggregaðar frekar en leystar með einfaldri röð fyrsta samræmis, og ACL-forgangur þeirra er aðskilin aðferð frá færsluvali. Lestu lýsingu handbókarinnar á aggregeringu áður en þú gerir ráð fyrir að strangari færslan vinni.

Meðhöndlaðu lotur sem þegar eru til og prófaðu síðan bæði tækin

Að breyta inntökureglu eða afturkalla skírteini lýsir ekki því hvað verður um lotu sem er þegar komin á og flytur umferð. Ef tafarlaus fjarlæging er krafan, fylgdu studdri aðferð innleiðingarinnar við að stöðva lotu og endurmeta í stað þess að bíða eftir næstu endurtengingu. Þetta er skrefið sem oftast er sleppt meðan á atviki stendur, og það er munurinn á stefnu og niðurstöðu.

Prófaðu með sama leyfða notanda á báðum vélum undir samþykktri skoðun. Lokaða tækið á að fá nákvæmlega fyrirhugaða höfnun eða viðgerðarniðurstöðu, og hitt á að halda aðeins leyfðum auðlindum sínum. Það sannreynir tækjamörkin án þess að afturkalla annan samþykktan aðgang manneskjunnar.

Ef þú getur ekki gert þessar tvær niðurstöður ólíkar, er vandamálið gögnin, ekki stefnan, og engin reglustilling lagar það.