Aprire l’accesso remoto a una rete isolata: verificate l’uscita

Qualcuno ha bisogno di un aggiornamento del firmware su un dispositivo in una rete che non ha rotte verso internet, e la risposta pratica è un collegamento temporaneo. La parola temporaneo porta tutto il peso in quella frase, ed è di solito la parte meno progettata del piano. Finché il collegamento esiste, l’isolamento che giustificava l’architettura non esiste. Cinque controlli rendono l’eccezione deliberata e non accidentale.

Controllo uno: se la manutenzione remota è consentita

Quella domanda appartiene al proprietario del sistema, non a chi tiene il cavo della console. Alcuni ambienti accettano un’eccezione remota documentata; altri sono stati isolati perché una norma, un contratto o uno studio dei pericoli dice che il lavoro remoto non è permesso in nessuna finestra. I due casi sembrano identici dall’esterno e richiedono risposte opposte.

Ottenete la risposta prima di confrontare i prodotti. Se l’isolamento è un requisito e non una preferenza, il risultato corretto di questo esercizio può essere una visita in sede. È un risultato, non un fallimento del piano. Un rifiuto con motivazione archiviata protegge anche chi ha chiesto, e vale più di un aggiramento che nessuno ha documentato.

Controllo due: scrivere l’eccezione prima di scegliere un innesco

Nominate la persona, la postazione da cui lavora, il dispositivo di destinazione, le operazioni consentite e il periodo approvato. Aggiungete chi in sede può autorizzare il lavoro e se qualcuno deve sorvegliare. La raggiungibilità non è un’autorizzazione, e una connessione funzionante a un controllore non dice nulla sulla possibilità di cambiare un valore di setpoint.

La postazione merita lo stesso esame del punto di ingresso. Un gateway stretto accetta comunque lavoro da un endpoint che custodisce credenziali, file di lavoro e strumenti privilegiati, e un portatile non gestito con un client funzionante non è un ambiente di manutenzione equivalente.

Registrate il riferimento di approvazione accanto alla finestra. Un’eccezione che esiste solo in un messaggio di chat è indistinguibile da un’intrusione quando qualcuno esamina i registri sei mesi dopo.

Controllo tre: definite cosa significa chiuso

Scrivete lo stato preciso che conta come concluso: sessione terminata, account disabilitato, regola rimossa, connettore fermato, cavo estratto. Sono cicli di vita diversi, e chiudere una scheda del browser non ne termina nessuno.

Poi indicate chi verifica quello stato e come. Una lista di controllo che finisce con il tecnico che dice che è fatto è un’affermazione, non una verifica. Mettete la prova nel registro: cosa è stato disabilitato, quando e da chi.

Controllo quattro: l’arresto non deve dipendere dal percorso che arresta

Fissate una durata massima e un modo per terminare prima il lavoro, poi chiedete cosa succede quando il meccanismo che lo abilita si guasta. Se il timer vive sullo stesso host del percorso remoto, un guasto lì può lasciare l’eccezione aperta senza che nessuno la sorvegli.

Tenete un modo indipendente per disconnettere in sede, che sia una console locale, un interruttore fisico o una procedura documentata per la persona in reparto. Quando l’unico spegnimento passa dal collegamento che si sta spegnendo, la sede non può far valere il proprio confine. Provate l’arresto locale una volta durante una finestra, mentre qualcuno in sede può recuperare se fallisce.

Controllo cinque: l’apparecchiatura deve sopravvivere fino al lavoro successivo

Un gateway acceso due volte l’anno ha comunque bisogno di aggiornamenti supportati, di una configurazione di base e di credenziali che non siano condivise da chiunque ne abbia mai avuto bisogno. Decidete come raggiunge uno stato approvato prima che il percorso protetto si apra, non durante la finestra. Un gateway obsoleto è un peso che la visita di manutenzione doveva ridurre.

Proteggete anche il meccanismo che abilita la finestra. Un numero di telefono, un identificativo del chiamante o un messaggio oscuro sono un innesco, non un’autenticazione, e un comodo canale di risveglio che nessuno ha documentato è un percorso di gestione in attesa.

Chiudete provando tre esiti sotto un piano approvato: un’operazione consentita, una negata e lo stato di fine finestra. Aggiungete un caso di guasto, per esempio che l’operatore perda il contatto a metà strada, e confermate che la sede finisca comunque chiusa. Quel controllo è l’unica prova che la parola temporaneo descriveva qualcosa di reale.