Blokkar VPN-staðuyfirferðin ekki? Fylgdu skýrslunni fyrst

Ef fartölva þar sem vírusvarnarundirskriftir hættu að uppfærast fyrir vikum getur enn opnað innra appið þitt, er stefnuskjalið sjaldan það sem er rangt. Þrjú aðskilin kerfi verða að vera sammála áður en aðgangi er synjað: eitthvað mælir endapunktinn, eitthvað breytir þeirri mælingu í úrskurð um að leyfa eða synja, og eitthvað sleppir umferðinni í raun. Þegar ósamrýmanlegt tæki kemst samt inn vantar nákvæmlega eina af þessum hlekkjum eða treystir sönnunargögnum sem það ætti ekki. Prófanirnar hér að neðan fara í þeirri röð, og hver hefur stöðvunarpunkt.

Blokkunin er síðasta skrefið, ekki það fyrsta

Auðkenning og ástand tækisins svara ólíkum spurningum. Árangursrík innskráning sannar að skilríki hafi verið lögð fram; hún segir ekkert um hugbúnaðinn sem keyrir á vélinni sem lagði þau fram. Þetta bil er ástæðan fyrir því að afritað biðlarasnið getur flutt lotu sem virðist heilbrigð yfir á óheilbrigðan hýsil.

Vinna við samræmi endapunkta hefur þegar orðaforða fyrir þessa keðju. NEA-viðmiðunarlíkanið í RFC 5209 skiptir verkefninu í söfnun, matsþrep og framfylgdarpunkt og segir beint að biðlari sem lýgur um eigið ástand sé utan líkansins. Þessi fyrirvari skiptir meira máli en skýringarmyndin: traust vettvangseining gerir sjálftilkynnta mælingu ekki að staðreynd.

Haltu söfnuninni heiðarlegri hvað varðar umfang. Hún á að tilkynna þá eiginleika sem stefnan þín nefnir, á tækinu sem biður um aðgang, og lítið annað. Birgðaagent sem listar hverja uppsetta pakka er annað tól en ástandssöfnun, og munurinn er bæði varðveislu- og nákvæmnivandamál. Ef ekki er hægt að binda skýrsluna við eina tækisauðkenni er matsmaðurinn að giska á hvaða vél hann samþykkti rétt í þessu.

Mælaborð sem sýnir rautt ástand er ekki stýring. Spurðu hvað synjaður notandi kemst enn að: wikið, skráardeilinguna, gagnagrunnsportið? Lagfæring þarf eitt þröngt yfirborð, og allt annað tilheyrir bak við blokkunina.

Lestu skýrsluna áður en þú lest regluna

Byrjaðu á upprunanum í stað græna hakans hjá biðlaranum. Í Windows kemur staðbundin mæling frá Defender eða frá þeirri vöru sem skráði sig hjá Security Center, og bæði er hægt að lesa án stjórnborðs söluaðila:

Get-MpComputerStatus | Select-Object AMServiceEnabled, RealTimeProtectionEnabled, AntivirusSignatureLastUpdated
Get-CimInstance -Namespace root/SecurityCenter2 -ClassName AntiVirusProduct | Select-Object displayName, productState

Önnur skipunin skilar heiltölu sem heitir productState. Bitar hennar eru lauslega skjalfestir og söluaðilar pakka virkjunar- og núgildisflöggum á mismunandi hátt, svo staðfestu hana í stað þess að þátta hana. Þriðja aðila pakkar skilja líka Security Center-færsluna eftir eftir upptöku, og hún tilkynnir um hugbúnað sem er ekki lengur á diskinum.

Aldur er reiturinn sem fólk sleppir. Tímastimpill undirskriftar þýðir aðeins eitthvað miðað við klukku vélarinnar sem gerir matið, svo breyttu honum í bil í stað þess að áætla hann með auganu:

$sig = (Get-MpComputerStatus).AntivirusSignatureLastUpdated
[int](New-TimeSpan -Start $sig -End (Get-Date)).TotalHours

Nú hefur stefnan eina tölu til að lesa. Ef reglan þín segir 72 klukkustundir er það talan sem hún notar, og fartölva sem sefur viku fellur án þess að nokkur túlki merki. Skráðu þröskuldinn við hlið skipunarinnar, því þau tvö rekast í sundur þegar endapunktartólinu er skipt út.

Breyttu hverju tækisástandi í skriflegan úrskurð

Flest deilur um ástand eru í raun deilur um óþekktu röðina. Ákveddu það fyrir fyrsta atvikið, í töflu sem nefnir sönnunargagnið, úrskurðinn og eigandann, svo enginn spuni við stjórnborð gáttarinnar.

Neðsta röðin er þar sem vörur eru ólíkar. Sumar gáttir hafna tengingunni og útskýra hvers vegna; aðrar leyfa göngunni að rísa og beita takmarkaðri stefnu; fáeinar falla aftur á síðustu þekktu góðu skýrsluna. Aðeins fyrstu tvær eru verjanlegar, og það er þess virði að prófa hvora þín gerir.

Haltu auðkenni og leyfi líka í sínum farvegum. Fartölva sem stenst hvert ástandspróf þarf samt rétta mannlega heimild fyrir appið, og tækisskírteini sannar eign á lykli, ekki ástand skráarkerfisins. Að þjappa þremur í eitt boolean er leiðin sem hjálparborðsreikningur fær varanlegan aðgang að framleiðslu.

Prófaðu framfylgdargöngin með beiðni, ekki mælaborði

Framfylgd er eiginleiki beiðni, svo mældu hana með einni. Settu ósamrýmanlega vél í göngin og gerðu það kall sem alvöru notandi myndi gera:

curl -sS -o /dev/null -w '%{http_code}
' --max-time 5 https://app.internal.example/health

Svar 200 frá tæki sem ætti að loka á þýðir að ákvörðunin náði aldrei gagnaleiðinni. Tvær algengar orsakir: stefnan er tengd hóp sem prófunarreikningurinn gekk aldrei í, eða appið er aðgengilegt um leið sem VPN-ið á ekki.

Athugaðu fyrst leiðarforsenduna. Ef innra nafnið leysist í vistfang sem biðlarinn nær þegar um staðbundið LAN er göngin óviðkomandi og engin stefna mun gilda. Berðu það vistfang saman við leiðina sem gáttin ýtir. Á OpenVPN býr stefna hvers biðlara í skrám sem eru lyklaðar með sameiginlega nafninu, svo auðvelt er að skoða:

ls /etc/openvpn/ccd/
cat /etc/openvpn/ccd/laptop-17

Skrá sem inniheldur disable aftengir þann biðlara algjörlega, en lína push "route ..." þrengir það sem hann nær. Bæði er framfylgd, og bæði er sýnilegt hverjum þeim sem kembir skýrsluna.

Prófaðu fjögur tilvik á einum prófunarreikningi

Lokaprófið er lítil fylki, ekki hamingjusöm leið. Keyrðu einn prófunarreikning í gegnum fjögur ástand: núgilt, útrunnið undirskrift, vörn óvirk, agent ekki uppsettur. Fyrir hvert skaltu skrá úrskurðinn í matsskránna, HTTP-stöðuna sem appið skilar og hvort lagfæringarsíðan hlaðist.

foreach ($case in 'current', 'stale', 'disabled', 'absent') {
  Get-MpComputerStatus | Select-Object AMServiceEnabled, AntivirusSignatureLastUpdated
  curl.exe -sS -o NUL -w "%{http_code}
" --max-time 5 https://app.internal.example/health
}

Tveir smáatriðir eru auðvelt að missa af. Fyrst endurspilun: skýrsla sem var tekin á meðan vélin var heilbrigð má ekki vera samþykkt fyrir síðari lotu á sama tæki, svo leitaðu að tímastimpli sem er bundinn núverandi tengingu. Síðan fjarlæging: að taka agentinn út ætti að gefa sömu synjun og gömul skýrsla, ekki hreint próf, og það er tilvikið sem oftast er aldrei prófað.

Þegar fylkið passar við töfluna skaltu afhenda þrjá hluti til þess sem keyrir gáttina næst: skipununum, þröskuldinum og fjórum væntanlegum útkomum. Sú afhending er raunverulega afurðin, því ástandshönnun sem lifir aðeins í stefnuskjali rekst í sundur í fyrsta skipti sem endapunktartólið breytir skýrslureitnum sínum.