전체 계정을 비활성화하지 않고 VPN에서 기기 하나만 차단하기

직원 한 명, 노트북 두 대, 그중 한 대만 접근을 잃어야 하는 상황입니다. 계정을 비활성화하는 것이 뻔한 수단이지만 범위를 잘못 처벌하게 되고, 엔드포인트에 저장된 프로필을 지우는 것은 제어가 아니라 제안일 뿐입니다. 결정은 세 가지 조건으로 좁혀집니다. VPN이 검증할 수 있는 기기 신원이 있는지, 이 특정 연결이 실제로 그것을 평가하는지, 그리고 사람이 아니라 기기에 무엇이 일어나기를 원하는지입니다. 이 순서로 답하면 적용 방식은 대개 스스로 정해집니다.

첫 번째 조건: VPN이 검증할 수 있는 기기 증거가 있는가

출발지 주소는 사무실 NAT 뒤에서 공유되고 모바일 네트워크에서는 바뀝니다. 호스트 이름은 기기가 주장하는 값일 뿐이고, MAC 주소는 손쉽게 위조되며, 레지스트리 값은 로컬 권한이 있는 무엇이든 쓸 수 있습니다. 어느 것도 무언가가 검증하기 전에는 신원이 아닙니다. 해당 엔드포인트에 발급된 인증서처럼 별도로 등록된 기기 자격 증명만이 계정보다 좁은 대상에 폐기를 겨냥할 수 있는 유일한 선택지입니다.

자격 증명은 연결이 그것으로 인증하고 시도할 때마다 체인을 검증할 때만 의미가 있습니다. 기기 저장소에 놓인 파일만으로는 아무것도 증명하지 못합니다.

두 번째 조건: 이 연결이 그것을 평가하는가

엔드포인트 속성은 보편적이지 않습니다. ASA에서는 Cisco의 ASDM DAP 안내서 가 사용자 AAA 정보와 엔드포인트 평가 속성을 분리하며, 어떤 속성이 사용 가능한지는 사용 중인 원격 접속 프로토콜, 배포된 posture 도구, 라이선스에 따라 달라집니다. 레지스트리 검사에는 지원되는 수집 경로가 필요하고, 그렇게 해도 보고되는 것은 엔드포인트 도구가 본 내용이지 그 기기가 신뢰하는 기기라는 뜻이 아닙니다.

따라서 실무적인 질문은 좁습니다. 이 터널에서, 이 클라이언트와 이 posture 에이전트로, 어떤 속성이 채워진 채 신뢰할 수 있게 도착하는가. 답이 없다면 그것에 기대어 쓴 정책은 아무것에도 맞지 않거나 모든 것에 맞게 되고, 두 결과 모두 피하려던 계정 잠금보다 나쁩니다.

세 번째 조건: 거부인가, 교정인가, 더 좁은 접근인가

세 가지 결과가 가능하며 서로 대체할 수 없습니다. 세션을 종료하면 접근이 완전히 사라집니다. 기기를 격리해 교정 리소스에만 닿게 할 수도 있습니다. 또는 세션을 유지한 채 리소스 ACL을 그 기기에 아직 필요한 몇 가지로 줄일 수도 있습니다. DAP 세션 조치와 리소스 ACL은 서로 다른 질문에 답하는 것이므로, 선택은 그 사람이 얼마나 많은 부수 피해를 감당해야 하는가의 문제입니다.

분실되거나 도난당한 노트북이라면 보통 세션 종료입니다. posture 검사에 실패한 기기라면 교정이 더 온화하고 효과도 같습니다.

증거가 없을 때 무슨 일이 일어나는지 정하라

좋은 경우를 위해 쓴 규칙보다 기본 경로가 더 중요합니다. posture 에이전트가 고장 나 기대한 속성이 끝내 오지 않으면, 그것을 요구하는 정책은 세션을 허용하는 기본값으로 흘러갈 수 있습니다. 기본 결과를 읽고 증거가 없는 경우를 의도적으로 시험하십시오. 에이전트를 제거한 공격자가 보여줄 상태가 바로 그것입니다.

일치하는 여러 DAP 레코드는 단순한 선착순 순서로 해결되지 않고 집계되며, ACL 우선순위는 레코드 선택과 별개의 메커니즘입니다. 더 엄격한 레코드가 이긴다고 가정하기 전에 안내서의 집계 설명을 읽으십시오.

이미 존재하는 세션을 다루고, 그다음 두 기기를 시험하라

허용 규칙을 바꾸거나 자격 증명을 폐기하는 것은 이미 설정되어 트래픽을 통과시키는 세션에 무슨 일이 일어나는지 설명하지 않습니다. 즉시 제거가 요구 사항이라면 다음 재접속을 기다리지 말고 구현이 지원하는 세션 종료와 재평가 절차를 따르십시오. 사고 때 가장 자주 건너뛰는 단계이며, 정책과 결과의 차이입니다.

승인된 점검 아래에서 두 기기 모두 같은 허용된 사용자로 시험하십시오. 차단된 기기는 의도한 거부 또는 교정 결과를 정확히 받아야 하고, 다른 기기는 승인된 리소스만 유지해야 합니다. 이렇게 하면 그 사람의 다른 승인된 접근을 취소하지 않고 기기 경계를 검증할 수 있습니다.

두 결과를 다르게 만들 수 없다면 문제는 정책이 아니라 증거에 있으며, 규칙을 조정해도 고쳐지지 않습니다.