VPN құрылғы күйінің тексерісі блоктамай ма? Алдымен есепті қадағалаңыз

Соңғы нүкте агенті денсаулығы жақсы деп хабарлайды, бірақ ішкі қолданба әлі ашылады. Жинаушыны, үкімді және бөгеуді қарап шығып, содан кейін бас тартуды бір сұраныспен дәлелдеңіз.

Егер вируске қарсы қолтаңбалары апталар бұрын жаңартылуын тоқтатқан ноутбук әлі де ішкі қолданбаңызды аша алса, онда саясат құжаты сирек қате болады. Рұқсаттан бас тартылмас бұрын үш бөлек жүйе келісуі керек: бірдеңе соңғы нүктені өлшейді, бірдеңе сол өлшемді рұқсат немесе бас тарту үкіміне айналдырады, ал бірдеңе трафикті шынымен тастайды. Сәйкес емес құрылғы бәрібір кірсе, дәл сол буындардың біреуі жоқ немесе болмауы тиіс дәлелге сенеді. Төмендегі тексерулер осы ретпен жүреді және әрқайсысының тоқтау нүктесі бар.

Бөгеу — соңғы қадам, біріншісі емес

Аутентификация мен құрылғы күйі түрлі сұрақтарға жауап береді. Сәтті кіру тіркелгі деректері ұсынылғанын дәлелдейді; ол оны ұсынған машинада жүгіп тұрған бағдарламалық жасақтама туралы ештеңе айтпайды. Осы алшақтық салдарынан көшірілген клиент профилі сау көрінетін сессияны сау емес хостқа апаруы мүмкін.

Соңғы нүктелердің сәйкестік жұмысында осы шынжырға арналған сөздік бар. RFC 5209-тегі NEA тірек моделі жұмысты жинаушыға, бағалау қадамына және қолдану нүктесіне бөледі және өз күйі туралы өтірік айтқан клиент модельден тыс қалатынын ашық айтады. Бұл ескерту диаграммадан маңыздырақ: сенімді платформа модулі өздігінен хабарланған өлшемді фактіге айналдырмайды.

Жинаушыны ауқым тұрғысынан адал ұстаңыз. Ол саясатыңыз атайтын атрибуттарды рұқсат сұраған құрылғыда хабарлауы керек, одан басқасы аз. Орнатылған әр пакетті тізіп шығатын түгендеу агенті күй жинаушысынан өзге құрал, ал айырмашылық бір мезгілде сақтау және дәлдік мәселесі. Егер есепті бір құрылғы идентификаторына байланыстыру мүмкін болмаса, бағалаушы қай машинаға жаңа ғана рұқсат бергенін болжап отыр.

Қызыл күйді көрсететін тақта бақылау емес. Бас тартылған пайдаланушы әлі қайда жете алатынын сұраңыз: уикиге, файл бөлісіміне, дерекқор портына? Түзетуге бір тар бет қажет, ал қалғанының бәрі бөгеудің артында.

Ережені оқымас бұрын есепті оқыңыз

Клиенттің жасыл белгісінен емес, көзден бастаңыз. Windows-та жергілікті өлшем Defender-ден немесе өзін Security Center-ге тіркеген өнімнен келеді, және екеуін де жеткізуші консолінсіз оқуға болады:

Get-MpComputerStatus | Select-Object AMServiceEnabled, RealTimeProtectionEnabled, AntivirusSignatureLastUpdated
Get-CimInstance -Namespace root/SecurityCenter2 -ClassName AntiVirusProduct | Select-Object displayName, productState

Екінші команда productState деп аталатын бүтін санды қайтарады. Оның биттері жеңіл құжатталған және жеткізушілер қосу мен өзектілік жалаушаларын түрліше жинақтайды, сондықтан оны талдаудың орнына растаңыз. Үшінші тарап пакеттері де жоюдан кейін Security Center жазбасын қалдырады, ал ол дискіде жоқ бағдарламалық жасақтама туралы хабарлайды.

Жасы — адамдар өткізіп жіберетін өріс. Қолтаңбаның уақыт белгісі тек бағалауды жүргізетін машинаның сағатына қатысты мәнге ие, сондықтан оны көзбен бағалаудың орнына аралыққа айналдырыңыз:

$sig = (Get-MpComputerStatus).AntivirusSignatureLastUpdated
[int](New-TimeSpan -Start $sig -End (Get-Date)).TotalHours

Енді саясатта оқитын бір сан бар. Ережеңіз 72 сағат десе, ол пайдаланатын сан — осы, және бір апта ұйықтаған ноутбук ешкім белгіні түсіндірмей-ақ сәтсіздікке ұшырайды. Шекті команданың қасына жазып қойыңыз, өйткені соңғы нүкте құралы ауыстырылғанда екеуі алшақтайды.

Әр құрылғы күйін жазбаша үкімге айналдырыңыз

Күй туралы даулардың көбі шын мәнінде белгісіз жол туралы дау. Оны бірінші оқиғаға дейін шешіңіз, дәлелді, үкімді және иесін атайтын кестеде, сонда ешкім қақпа консолінде қолма-қол шешім қабылдамайды.

Evidence the assessor hasVerdictWhat it protects against
Timestamp inside the policy window, protective service runningAdmit to normal applicationsNothing yet; the other checks still apply
Timestamp older than the windowDeny, admit remediation page onlySignature rollback and dormant laptops
Service disabled or reporting offDeny, escalate to the endpoint ownerAn agent reporting stale success
No report at all for this sessionTreat as deny, never as healthyAgents that fail open under load

Өнімдер дәл төменгі жолда ерекшеленеді. Кейбір қақпалар қосылымнан бас тартып, себебін түсіндіреді; басқалары туннельдің көтерілуіне жол беріп, шектеулі саясат қолданады; аздары соңғы белгілі жақсы есепке қайтады. Тек алғашқы екеуін қорғауға болады, және сіздікі қайсысын жасайтынын тексеруге тұрарлық.

Сәйкестік пен рұқсатты да өз жолақтарында ұстаңыз. Әр күй тестінен өтетін ноутбук қолданба үшін дұрыс адами авторизацияны әлі де қажет етеді, ал құрылғы сертификаты кілтке иелікті дәлелдейді, файл жүйесінің күйін емес. Үшеуін бір бульге сығу — қолдау қызметінің тіркелгісі өндіріске тұрақты рұқсат алатын жол.

Қолдану жолын тақтамен емес, сұраныспен тексеріңіз

Қолдану — сұраныстың қасиеті, сондықтан оны бір сұраныспен өлшеңіз. Сәйкес емес машинаны туннельге қойып, нақты пайдаланушы жасайтын шақыруды жасаңыз:

curl -sS -o /dev/null -w '%{http_code}
' --max-time 5 https://app.internal.example/health

Бөгелуі тиіс құрылғыдан 200 келсе, бұл шешім деректер жолына ешқашан жетпегенін білдіреді. Екі әдеттегі себеп: саясат сынақ тіркелгісі кірмеген топқа байланған, немесе қолданбаға VPN иелік етпейтін маршрут арқылы жетуге болады.

Алдымен маршруттау болжамын тексеріңіз. Егер ішкі атау клиент жергілікті LAN арқылы әлдеқашан жететін мекенжайға шешілсе, туннель маңызсыз және ешбір саясат қолданылмайды. Ол мекенжайды қақпа итеретін маршрутпен салыстырыңыз. OpenVPN-де әр клиенттің саясаты ортақ атаумен кілттелген файлдарда өмір сүреді, сондықтан оны тексеру оңай:

ls /etc/openvpn/ccd/
cat /etc/openvpn/ccd/laptop-17

disable бар файл сол клиентті толық ажыратады, ал push "route ..." жолы қайда жетуге болатынын тарылтады. Екеуі де қолдану, және екеуі де есепті жөндейтін адамға көрінеді.

Төрт жағдайды бір сынақ тіркелгісінде тексеріңіз

Соңғы тексеру — кішкентай матрица, бақытты жол емес. Бір сынақ тіркелгісін төрт күйден өткізіңіз: ағымдағы, мерзімі өткен қолтаңба, қорғаныс өшірілген, агент орнатылмаған. Әрқайсысы үшін үкімді бағалау журналына, қолданба қайтаратын HTTP күйін және түзету беті жүктелгенін жазыңыз.

foreach ($case in 'current', 'stale', 'disabled', 'absent') {
  Get-MpComputerStatus | Select-Object AMServiceEnabled, AntivirusSignatureLastUpdated
  curl.exe -sS -o NUL -w "%{http_code}
" --max-time 5 https://app.internal.example/health
}

Екі бөлшек оңай назардан тыс қалады. Алдымен қайталау: машина сау кезде алынған есеп сол құрылғыдағы кейінгі сессияға қабылданбауы керек, сондықтан ағымдағы қосылымға байланған уақыт белгісін іздеңіз. Содан кейін жою: агентті жою ескірген есеп сияқты бас тарту тудыруы керек, таза өту емес, және дәл осы жағдай көбіне ешқашан тексерілмейді.

Матрица кестемен сәйкес келсе, қақпаны кейін басқаратын адамға үш нәрсені тапсырыңыз: командаларды, шекті және күтілетін төрт нәтижені. Дәл осы тапсыру — нақты нәтиже, өйткені тек саясат құжатында өмір сүретін күй дизайны соңғы нүкте құралы өзінің есеп өрісін өзгерткенде бірінші рет тайқиды.

Қатысты мақалалар