Proporre un apparato di accesso remoto che il proprietario della rete può approvare

Un apparato di accesso remoto cambia il confine di rete del cliente anche quando si collega verso l’esterno e non ha bisogno di alcun inoltro di porta in entrata. È la direzione in uscita che lo rende facile da installare e che lo rende facile da trascurare. Presentalo come una richiesta di progettazione dell’accesso prima che entri in rete. Presentarlo come qualcosa che non serviva menzionare è il modo in cui un successo tecnico diventa un problema contrattuale.

Dai per scontato che il proprietario della rete farà quattro domande: cosa, chi, fino a che punto e come lo annulliamo.

Chiedi la risorsa, non la sottorete

Descrivi il lavoro con i termini che usa il proprietario: quale persona ha bisogno di quale servizio, su quale dispositivo, per quanto tempo. Una richiesta limitata a un’applicazione su un solo host è facile da approvare. Una richiesta di una sottorete è una richiesta di riorganizzare la segmentazione di qualcun altro.

Il cliente potrebbe già gestire una VPN approvata, un gateway per desktop remoto o un canale di assistenza gestito che soddisfa l’esigenza. Verificalo prima, perché riutilizzare un percorso esistente è di solito la risposta più economica per entrambe le parti. Se non si adatta, dì esattamente perché. Quel confronto è la parte più forte della proposta.

Se un apparato è davvero necessario, porta il suo proprietario, la fonte del software, il processo di aggiornamento e il punto di installazione previsto.

Mostra la connessione e dove finisce la fiducia

Disegna l’apparato, l’utente remoto, eventuali broker o relay e la risorsa protetta. Segna dove termina la cifratura e chi amministra ogni estremità. Una sessione in uscita introduce comunque un nuovo percorso di controllo, ed è nel diagramma che questo diventa visibile. Dire che il traffico è cifrato risponde a una domanda di riservatezza e a nessuna domanda di autorizzazione.

Indica la modalità in modo esplicito: inoltro di pacchetti, proxy applicativo o desktop esposto. Ognuna ha conseguenze diverse per l’instradamento e la sicurezza dell’host, e ognuna fallisce in modo diverso quando l’apparato viene compromesso.

Tieni le reti del cliente non correlate e l’interfaccia di amministrazione dell’apparato stesso fuori dall’ambito approvato.

Separa l’identità utente dall’identità del dispositivo

Registrazione degli utenti, identità del dispositivo, autenticazione a più fattori e accesso all’applicazione sono quattro controlli diversi, e la proposta deve nominare ciascuno. Le credenziali condivise sono la scorciatoia abituale, e lasciano il proprietario incapace di revocare una persona senza interrompere tutti. L’accesso dovrebbe restare all’applicazione. L’apparato autentica una connessione; il servizio decide cosa può fare quella connessione.

L’architettura a fiducia zero del NIST è utile qui perché tratta l’accesso alle risorse come una decisione esplicita e non come una conseguenza della posizione in rete.

Concorda recupero e rimozione prima dell’installazione

Il proprietario dovrebbe poter disattivare l’accesso subito tramite un controllo che gestisce lui stesso, non tramite una chiamata a te. Metti per iscritto la revoca delle credenziali, la rimozione dell’apparato, la responsabilità degli aggiornamenti e una data di scadenza o revisione. Conserva un percorso di recupero locale che non dipenda dal nuovo canale remoto. Un apparato che nessuno può rimuovere senza il fornitore è una dipendenza permanente mascherata da comodità.

Mantieni i registri proporzionati: identità approvate, ambito di accesso, modifiche significative e guasti rilevanti.

Raccogliere cronologia di navigazione non correlata per dimostrare che l’apparato esiste non è prova di buon funzionamento, e crea un obbligo che il proprietario non ha mai chiesto.

Come appare un’approvazione riuscita

Accetta il progetto con il proprietario con un servizio consentito e una risorsa che deve restare negata. Quella seconda metà è la parte che le persone saltano, ed è l’unica parte che dimostra che il confine sta dove il diagramma dice. Prova la revoca allo stesso modo, prima che l’apparato porti lavoro reale. Se l’approvazione viene negata, usa l’alternativa autorizzata del cliente o fai il lavoro in locale.

Una connessione funzionante non è il permesso di creare il percorso di accesso.

Metti per iscritto l’approvazione con il suo ambito e la sua scadenza, e consegna una copia al proprietario. La prossima persona che toccherà quella rete leggerà il registro, non il tuo ricordo della conversazione.