Bloccare un solo dispositivo dalla VPN senza disattivare tutto l'account

Un dipendente, due portatili e solo uno di loro deve perdere l'accesso. Disattivare l'account è la leva ovvia, ma punisce l'ambito sbagliato, mentre cancellare un profilo salvato sull'endpoint è un suggerimento e non un controllo. La decisione si riduce a tre condizioni: se esiste un'identità del dispositivo che la VPN può verificare, se questa connessione precisa la valuta davvero e cosa si vuole che accada al dispositivo invece che alla persona. Rispondete in quest'ordine e l'applicazione di solito si sceglie da sola.

Prima condizione: esistono prove del dispositivo che la VPN può verificare?

Un indirizzo di origine è condiviso dietro il NAT dell'ufficio e cambia sulle reti mobili. Un nome host è ciò che il dispositivo dichiara, un indirizzo MAC si falsifica banalmente e un valore di registro può essere scritto da qualsiasi cosa abbia diritti locali. Nessuno di questi è un'identità finché qualcosa non la verifica. Una credenziale del dispositivo registrata separatamente, come un certificato emesso per quell'endpoint, è l'unica opzione che dà alla revoca un bersaglio più stretto dell'account utente.

La credenziale conta solo se la connessione si autentica con essa e convalida la catena a ogni tentativo. Un file che giace nell'archivio della macchina non dimostra nulla.

Seconda condizione: questa connessione la valuta?

Gli attributi dell'endpoint non sono universali. Su un ASA, la guida ASDM DAP di Cisco separa le informazioni AAA dell'utente dagli attributi di valutazione dell'endpoint, e quali attributi siano disponibili dipende dal protocollo di accesso remoto in uso, dagli strumenti di posture distribuiti e dalla licenza. Un controllo del registro richiede il percorso di raccolta supportato, e anche allora riporta ciò che ha visto lo strumento dell'endpoint, non che la macchina sia quella di cui ci si fida.

Quindi la domanda pratica è stretta: su questo tunnel, con questo client e questo agente di posture, quale attributo arriva popolato e affidabile? Se la risposta è nessuno, una politica scritta contro di esso corrisponderà a niente o a tutto, ed entrambi gli esiti sono peggiori del blocco dell'account che si stava evitando.

Terza condizione: rifiuto, remediation o accesso più stretto?

Ci sono tre esiti disponibili e non sono intercambiabili. Si può terminare la sessione, che rimuove l'accesso del tutto; si può mettere il dispositivo in quarantena in uno stato in cui raggiunge solo le risorse di remediation; oppure si può lasciare la sessione attiva e tagliare la sua ACL delle risorse alle poche cose di cui quel dispositivo ha ancora bisogno. Le azioni di sessione DAP e le ACL delle risorse rispondono a domande diverse, quindi la scelta riguarda quanti danni collaterali la persona debba assorbire.

Per un portatile perso o rubato la risposta è di solito la terminazione. Per una macchina che ha fallito un controllo di posture, la remediation è più gentile e altrettanto efficace.

Decidere cosa succede quando mancano le prove

Il percorso predefinito conta più della regola scritta per il caso buono. Se l'attributo atteso non arriva mai perché l'agente di posture è rotto, una politica che lo richiede può cadere in un default che ammette la sessione. Leggete il risultato predefinito e provate deliberatamente il caso senza prove, perché è lo stato che presenterà un attaccante che rimuove l'agente.

Più record DAP corrispondenti vengono aggregati invece che risolti con un semplice ordine di prima corrispondenza, e la loro priorità ACL è un meccanismo separato dalla selezione del record. Leggete la descrizione dell'aggregazione nella guida prima di supporre che vinca il record più severo.

Gestire le sessioni già esistenti, poi provare entrambi i dispositivi

Modificare una regola di ammissione o revocare una credenziale non descrive cosa succede a una sessione già stabilita che trasporta traffico. Se la rimozione immediata è il requisito, seguite la procedura di terminazione e rivalutazione della sessione supportata dall'implementazione invece di attendere la prossima riconnessione. È il passaggio più spesso saltato durante un incidente, ed è la differenza tra una politica e un esito.

Provate con lo stesso utente consentito su entrambe le macchine nell'ambito di un controllo approvato. Il dispositivo bloccato deve ricevere esattamente il rifiuto o l'esito di remediation previsti, e l'altro deve conservare solo le risorse autorizzate. Questo verifica il confine del dispositivo senza revocare l'altro accesso approvato della persona.

Se non riuscite a rendere diversi questi due esiti, il problema sono le prove, non la politica, e nessun ritocco delle regole lo risolverà.