დაბლოკეთ ერთი მოწყობილობა VPN-ში მთელი ანგარიშის გამორთვის გარეშე

ერთი თანამშრომელი, ორი ლეპტოპი და მხოლოდ ერთმა მათგანმა უნდა დაკარგოს წვდომა. ანგარიშის გამორთვა აშკარა ბერკეტია, მაგრამ არასწორ მასშტაბს სჯის, ხოლო ბოლო წერტილზე შენახული პროფილის წაშლა წინადადებაა და არა კონტროლი. გადაწყვეტილება სამ პირობამდე მიდის: არსებობს თუ არა მოწყობილობის იდენტობა, რომლის გადამოწმებაც VPN-ს შეუძლია, აფასებს თუ არა ეს კონკრეტული კავშირი მას რეალურად და რა გსურთ მოხდეს მოწყობილობასთან და არა ადამიანთან. უპასუხეთ ამ თანმიმდევრობით და აღსრულება, როგორც წესი, თავად ირჩევს თავს.

პირველი პირობა: არსებობს მოწყობილობის მტკიცებულება, რომლის გადამოწმებაც VPN-ს შეუძლია?

წყაროს მისამართი საოფისე NAT-ის უკან საერთოა და მობილურ ქსელებში იცვლება. ჰოსტის სახელი არის ის, რასაც მოწყობილობა აცხადებს, MAC მისამართი ადვილად ყალბდება, ხოლო რეესტრის მნიშვნელობა ნებისმიერს, ვისაც ლოკალური უფლებები აქვს, შეუძლია ჩაწეროს. არც ერთი მათგანი იდენტობა არ არის, სანამ რაღაც არ გადაამოწმებს. ცალკე რეგისტრირებული მოწყობილობის სერტიფიკატი, მაგალითად ამ ბოლო წერტილისთვის გაცემული სერტიფიკატი, ერთადერთი ვარიანტია, რომელიც გაუქმებას აძლევს სამიზნეს, რომელიც ვიწროა მომხმარებლის ანგარიშზე.

სერტიფიკატი ითვლება მხოლოდ მაშინ, როცა კავშირი მისი საშუალებით ავთენტიფიცირდება და ყოველ ცდაზე ამოწმებს ჯაჭვს. მანქანის საცავში მყოფი ფაილი არაფერს ამტკიცებს.

მეორე პირობა: აფასებს ეს კავშირი მას?

ბოლო წერტილის ატრიბუტები უნივერსალური არ არის. ASA-ზე Cisco-ს ASDM DAP სახელმძღვანელო გამოყოფს მომხმარებლის AAA ინფორმაციას ბოლო წერტილის შეფასების ატრიბუტებისგან და რომელი ატრიბუტებია ხელმისაწვდომი, დამოკიდებულია გამოყენებულ დისტანციური წვდომის პროტოკოლზე, გაშვებულ posture ინსტრუმენტებზე და ლიცენზიაზე. რეესტრის შემოწმებას სჭირდება მხარდაჭერილი შეგროვების გზა და მაშინაც კი იუწყება, თუ რა დაინახა ბოლო წერტილის ინსტრუმენტმა და არა იმას, რომ მანქანა არის ის, რომელსაც ენდობით.

ამიტომ პრაქტიკული კითხვა ვიწროა: ამ გვირაბზე, ამ კლიენტით და ამ posture აგენტით რომელი ატრიბუტი მოდის შევსებული და სანდო? თუ პასუხი არც ერთია, მის წინააღმდეგ დაწერილი პოლიტიკა არაფერს დაემთხვევა ან ყველაფერს დაემთხვევა და ორივე შედეგი უარესია იმ ანგარიშის ჩაკეტვაზე, რომელსაც ერიდებოდით.

მესამე პირობა: უარი, გამოსწორება თუ უფრო ვიწრო წვდომა?

ხელმისაწვდომია სამი შედეგი და ისინი ურთიერთშემცვლელი არ არის. შეგიძლიათ დაასრულოთ სესია, რაც წვდომას სრულად აშორებს; შეგიძლიათ მოათავსოთ მოწყობილობა კარანტინში ისეთ მდგომარეობაში, სადაც ის მხოლოდ გამოსწორების რესურსებს აღწევს; ან შეგიძლიათ დატოვოთ სესია და შეამციროთ მისი რესურსის ACL იმ რამდენიმე რამემდე, რაც მოწყობილობას ჯერ კიდევ სჭირდება. DAP სესიის მოქმედებები და რესურსის ACL-ები სხვადასხვა კითხვას პასუხობენ, ამიტომ არჩევანი ეხება იმას, რამდენი გვერდითი ზიანი უნდა აიტანოს ადამიანმა.

დაკარგული ან მოპარული ლეპტოპისთვის პასუხი ჩვეულებრივ დასრულებაა. posture შემოწმებაზე ჩავარდნილი მანქანისთვის გამოსწორება უფრო რბილია და თანაბრად ეფექტური.

გადაწყვიტეთ, რა ხდება, როცა მტკიცებულება აკლია

ნაგულისხმევი გზა უფრო მნიშვნელოვანია, ვიდრე კარგი შემთხვევისთვის დაწერილი წესი. თუ მოსალოდნელი ატრიბუტი არასდროს მოდის იმიტომ, რომ posture აგენტი გატეხილია, მისი მოთხოვნადი პოლიტიკა შეიძლება დაეცეს ნაგულისხმევს, რომელიც სესიას უშვებს. წაიკითხეთ ნაგულისხმევი შედეგი და განზრახ გამოსცადეთ მტკიცებულების არქონის შემთხვევა, რადგან სწორედ ამ მდგომარეობას წარმოადგენს აგენტის მოხსნელი თავდამსხმელი.

რამდენიმე დამთხვეული DAP ჩანაწერი აგრეგირდება და არ წყდება მარტივი პირველი დამთხვევის რიგით, ხოლო მათი ACL პრიორიტეტი ჩანაწერის არჩევისგან ცალკე მექანიზმია. წაიკითხეთ სახელმძღვანელოს აღწერა აგრეგაციაზე, სანამ ჩათვლით, რომ უფრო მკაცრი ჩანაწერი იმარჯვებს.

დაუმუშავეთ უკვე არსებულ სესიებს, შემდეგ გამოსცადეთ ორივე მოწყობილობა

მიღების წესის შეცვლა ან სერტიფიკატის გაუქმება არ აღწერს, რა ხდება უკვე დამყარებულ და ტრაფიკს გამტარ სესიასთან. თუ მოთხოვნა დაუყოვნებელი მოხსნაა, მიჰყევით იმპლემენტაციის მიერ მხარდაჭერილ სესიის დასრულებისა და ხელახალი შეფასების პროცედურას, ნაცვლად იმისა, რომ დაელოდოთ შემდეგ ხელახალ დაკავშირებას. ეს არის ნაბიჯი, რომელიც ინციდენტის დროს ყველაზე ხშირად გამოტოვება, და ეს არის განსხვავება პოლიტიკასა და შედეგს შორის.

გამოსცადეთ იმავე ნებადართული მომხმარებლით ორივე მანქანაზე დამტკიცებული შემოწმების ქვეშ. დაბლოკილმა მოწყობილობამ უნდა მიიღოს ზუსტად განზრახული უარი ან გამოსწორების შედეგი, ხოლო მეორემ შეინარჩუნოს მხოლოდ თავისი უფლებამოსილი რესურსები. ეს ამოწმებს მოწყობილობის საზღვარს ადამიანის სხვა დამტკიცებული წვდომის გაუქმების გარეშე.

თუ ვერ ახერხებთ ამ ორი შედეგის განსხვავებულად გახდომას, პრობლემა მტკიცებულებაშია და არა პოლიტიკაში, და წესების არც ერთი დაყენება ამას არ გამოასწორებს.