VPNの経路だけではMacへのリモートログインは許可されない

勤務先のVPNに接続したという事実だけでは、誰かが別の場所からあなたのMacにサインインできるかどうかは何も分かりません。三つの別々の事柄が揃う必要があります。マシンに到達するネットワーク経路、稼働中のアクセスサービス、そして特定のアカウントがそのサービスを使う許可です。トンネルが提供するのは一つ目だけです。このページの残りは、答えを決めつけずに残りの二つを確認する方法についてです。

リモートアクセスを提供しうるサービスまたはインストール済みコンポーネントから始め、メニューバーの接続状態インジケーターから推測するのはやめてください。

人が一つにまとめてしまう三つの制御

到達性は、パケットが届くかどうかに答えます。共有サービスは、マシン上で何かが待ち受けているかどうかに答えます。認可は、サービスがどの身元を受け入れるか、そして内部に入った後に何に触れられるかに答えます。VPNは他の二つに触れずに最初の答えを変えられます。だからこそ、この問いはどちらの方向にも誤った結論を生み続けるのです。

AppleのRemote Loginに関するガイダンスは、この分離の良い具体例です。特定の場所にあり、独自のアカウント選択を伴うからです。それはシステム設定、一般、共有の下にあり、許可されたユーザーの選択を伴うSSHとSFTPのアクセスを説明しています。リモートユーザー向けのフルディスクアクセスはまた別のオプションであり、この点を裏付けます。サービスを有効にすることは、そのサービスが提供しうるすべての能力を与えることと同じではありません。

実際に何が有効になっているかを確認する

共有パネルを一通り見て、期待したものだけでなく、オンになっているすべてのサービスを書き留めてください。Remote Login、画面共有、ファイル共有はそれぞれ異なる面を開き、それぞれに独自のユーザーリストがあります。SSHの設定は画面共有について何も語らず、OSに共有機能があることは誰かが使ったかどうかについて何も語りません。

次に、他にアクセスを提供しうるものを洗い出します。第三者のリモートサポートエージェント、登録時にインストールされた管理ツール、あるいは何かと一緒にバンドルされた画面共有サーバーです。これらは共有パネルに現れず、ノートPCを監査するときに人が忘れるコンポーネントです。特定できないエージェントはすべて書き留めてください。待ち受けポートを持つ未知のプロセスは、それを持たない既知のプロセスより興味深いからです。未知のものの短いリストは、たまたま開いた一つのパネルだけに基づく自信過剰な結論より優れています。

登録が何をインストールしたか管理者に尋ねる

勤務先の登録に構成プロファイル、管理者の承認、追加ソフトウェアが含まれていたなら、それを運用している人に三つを尋ねてください。どのコンポーネントがインストールされたか、どの権限を持つか、切断後に何が有効なまま残るかです。VPNの経路と特権エンドポイントエージェントでは能力が大きく異なり、通常はどちらか一方だけがユーザーに見えます。

許可されたリモートサポートの取り決めについては、詳細を書面で入手してください。どのユーザーが承認されているか、どの操作が意図されているか、確認プロンプトが表示されるか、作業が終わったときに取り決めがどう解除されるかです。サポートが接続できるかどうかを試すためだけに全ユーザーのアクセスや広いディスク権限を与えないでください。その試験は境界を恒久的に広げてしまいます。

予期しなかった証拠を見つけたら

見慣れない接続ログや有効になったスイッチは手がかりであり、特定の人物の活動の証拠ではありません。関連する非秘密のイベントを保存し、時刻を記録し、誰かと対決したり証拠を削除して自然に解決することを期待したりする代わりに、組織やプラットフォームのインシデント手順を使ってください。

管理対象デバイスでは、ポリシーが要求する制御を無効にする前に、所有者に提案された変更を確認してもらってください。勤務先のネットワークに参加した個人デバイスでは、明確な登録の境界と、サポートされた退出手順を求めてください。何が削除され、何が残るかも含めてです。

役に立つ答えは、仕組みとその背後にある権限を名指しします。雇用者の無制限のアクセスも、トンネルのラベルによる完全な安全も決して約束せず、経路とログインを混同しません。