고객 VPN 접근: 권한 있는 작업에는 전용 기기를

연결 프로필에는 Production이라고 적혀 있고 터널이 올라오면 데스크톱의 모든 창이 고객 시스템에 닿을 수 있다. 그 과정 어디에도 권한 있는 세션을 옆의 브라우저 탭과 분리하는 장치는 없었다. VPN 프로필은 이름과 경로 집합일 뿐이다. 정말로 중요한 경계는 기기 신원, 통제된 실행 환경, 자격 증명 경로로 만들어진다. 이 셋은 서로 다른 곳에서 강제되므로 하나만 더하고 나머지를 건너뛰면 준수해 보이지만 그렇지 않은 설계가 된다.

프로필 이름은 경계가 아니다

터널이 올라오면 클라이언트가 경로와 DNS 설정을 적용하고, 그 뒤에 그 기기에서 도는 모든 것은 둘 다 물려받는다.

드롭다운의 이름은 운영자가 알아보는 것을 바꿀 뿐, 운영 체제가 허용하는 것을 바꾸지 않는다.

게이트웨이가 확인할 수 있는 것은 기기 신원

기기 인증서나 포스처 검사를 지원하는 게이트웨이는 사람뿐 아니라 기계도 인증한다. 누군가 비밀번호를 입력하기 전에 관리되지 않는 노트북의 연결을 거부할 수 있는 계층이 바로 이것이다. 기기를 잃어버렸을 때 구체적으로 폐기할 대상도 준다. 인증서 하나를 세 대에 복사하면 바로 그 속성이 사라지므로, 인증서 수명 주기는 공유 폴더가 아니라 합의서에 속한다.

어떤 통제가 필요한지는 고객의 정책이 정하며, 공급업체가 만든 가상 머신은 포스처 검사를 아예 충족하지 못할 수도 있다.

가상 머신 경계가 새는 곳

가상 머신은 고객 도구와 네트워크 상태를 함께 유지하므로 확실히 유용하다. 그러나 호스트와 하이퍼바이저에 의존하며, 여러 편의 기능이 경계를 넘는다. 공유 폴더, 클립보드 연동, 자격 증명 에이전트, 호스트 수준의 관리 접근이다. 매일 쓰는 호스트 위의 권한 있는 게스트는 독립적으로 신뢰할 수 없다. 호스트가 게스트의 행동을 관찰할 수 있기 때문이다. 가상 머신은 노출을 줄이는 통제로 다루고, 별도의 보안 영역으로 보지 말아야 한다.

전용 물리 기기는 호스트 의존성을 없애는 대신 유지보수 의무를 더한다.

자격 증명과 전달 경로

엔지니어마다, 고객마다 개별적이고 폐기 가능한 신원을 쓰고, 개인 브라우저 프로필과 채팅 기록에서 멀리 두십시오. 팀 전체가 공유하는 자격 증명은 귀속도, 교체도, 폐기도 깔끔하게 할 수 없다. 첫 세션 전에 도구, 파일, 진단 출력의 전달 경로를 정하십시오. 즉석 파일 이동이야말로 경계가 조용히 경계이기를 그치는 길이기 때문이다. 동시에 두 고객에 닿아야 한다면 먼저 네트워크와 신원 분리를 승인받으십시오.

그날 오후에 편했다는 이유만으로 두 고객 네트워크를 워크스테이션 하나로 연결하지 마십시오.

이를 반복 가능하게 만드는 합의

고객마다 짧은 기록을 남기십시오 그리고 양쪽이 찾을 수 있는 곳에 두십시오. 승인된 기기나 원격 환경과 그 유지보수 담당자, 허용된 신원, 그들이 닿을 수 있는 시스템과 작업, 전달 경로, 세션이 끝나는 일반적인 방식을 적어야 한다.

사람이 들어오거나 나갈 때 누군가 검토하는 다섯 줄은 아무도 적용할 수 없는 정책보다 낫다.

• 승인된 기기 또는 원격 환경, 이름이 지정된 유지보수 책임자와 함께.
• 지원을 위해 허용된 개별 사용자 및 기기 신원.
• 그 신원이 닿을 수 있는 시스템과 작업.
• 도구, 파일, 진단 출력에 허용된 경로.
• 세션 종료 절차와 승인된 비상 대안.

자격 증명을 옮기지 않는 비상 접근

통제가 긴급 수리를 막을 때 지나갈 길은 예외 절차이지, 같은 자격 증명을 실은 두 번째 노트북이 아니다. 승인된 예외는 누가 승인했는지, 무엇을 완화했는지, 언제 끝나는지를 기록한다. 자격 증명을 매일 쓰는 기기로 옮기면 최악의 순간에 경계가 바뀌고, 보통 그 뒤로도 바뀐 채 남는다. 비상 경로는 아무것도 고장 나지 않았을 때 연습할 가치가 있다.

그다음 합의대로 세션을 끝내고, 접근이 실제로 멈췄는지 확인하십시오.