네트워크 소유자가 승인할 수 있는 원격 접속 장비를 제안하기

원격 접속 장비는 바깥으로 연결하고 인바운드 포트 포워딩이 필요 없더라도 고객의 네트워크 경계를 바꿉니다. 설치를 쉽게 만들고 간과하기 쉽게 만드는 것도 바로 이 바깥 방향입니다. 장비가 네트워크에 들어가기 전에 접속 설계 요청으로 제시하십시오. 언급할 필요가 없었던 일로 제시하는 것이 기술적 성공을 계약 문제로 바꾸는 길입니다.

네트워크 소유자가 네 가지를 물을 것이라고 가정하십시오. 무엇을, 누가, 어디까지, 그리고 어떻게 되돌릴 것인가.

서브넷이 아니라 자원을 요청하십시오

소유자가 쓰는 용어로 작업을 설명하십시오. 어느 사람이 어느 서비스를, 어느 기기에서, 얼마 동안 필요로 하는지입니다. 한 호스트의 한 애플리케이션으로 범위를 좁힌 요청은 승인하기 쉽습니다. 서브넷 요청은 다른 사람의 분할을 다시 짜 달라는 요청입니다.

고객이 이미 승인된 VPN, 원격 데스크톱 게이트웨이, 또는 필요를 충족하는 관리형 지원 경로를 운영하고 있을 수 있습니다. 그것을 먼저 확인하십시오. 기존 경로의 재사용이 보통 양쪽 모두에게 가장 저렴한 답이기 때문입니다. 맞지 않는다면 왜 맞지 않는지를 정확히 말하십시오. 그 비교가 제안의 가장 강한 부분입니다.

장비가 정말로 필요하다면 그 소유자, 소프트웨어 출처, 업데이트 절차, 계획된 설치 지점을 함께 가져오십시오.

연결과 신뢰가 끝나는 지점을 보여 주십시오

장비, 원격 사용자, 중개자나 중계가 있다면 그것도, 그리고 보호되는 자원을 그리십시오. 암호화가 어디서 끝나는지, 각 끝점을 누가 관리하는지 표시하십시오. 바깥으로 나가는 세션도 새로운 제어 경로를 들여오며, 그 사실이 드러나는 곳이 바로 이 그림입니다. 트래픽이 암호화되어 있다는 말은 기밀성 질문에 답할 뿐 어떤 권한 부여 질문에도 답하지 않습니다.

모드를 분명히 밝히십시오. 패킷 포워딩, 애플리케이션 프록시, 또는 노출된 데스크톱입니다. 각각 라우팅과 호스트 보안에 다른 결과를 낳고, 장비가 침해될 때 서로 다른 방식으로 실패합니다.

무관한 고객 네트워크와 장비 자체의 관리 인터페이스는 승인 범위 밖에 두십시오.

사용자 신원과 기기 신원을 분리하십시오

사용자 등록, 기기 신원, 다중 요소 인증, 애플리케이션 로그인은 서로 다른 네 가지 통제이며, 제안은 각각을 지목해야 합니다. 공유 자격 증명은 흔한 지름길이고, 소유자가 모두를 방해하지 않고서는 한 사람을 취소할 수 없게 만듭니다. 로그인은 애플리케이션 쪽에 남아야 합니다. 장비는 연결을 인증하고, 그 연결이 무엇을 할 수 있는지는 서비스가 결정합니다.

NIST의 제로 트러스트 아키텍처가 여기서 유용한 이유는 자원 접근을 네트워크 위치의 결과가 아니라 명시적 결정으로 다루기 때문입니다.

설치 전에 복구와 제거를 합의하십시오

소유자는 자신이 운영하는 통제로 접근을 즉시 차단할 수 있어야 하며, 당신에게 전화해서가 아닙니다. 자격 증명 폐기, 장비 제거, 업데이트 책임, 만료일 또는 검토일을 적어 두십시오. 새 원격 채널에 의존하지 않는 로컬 복구 경로를 유지하십시오. 공급업체 없이는 아무도 제거할 수 없는 장비는 편의로 위장한 영구 의존입니다.

기록은 비례하게 유지하십시오. 승인된 신원, 접근 범위, 중요한 변경, 관련 장애입니다.

무관한 브라우징 기록을 수집하는 것으로 장비의 존재를 증명하는 것은 좋은 운영의 증거가 아니며, 소유자가 한 번도 요구하지 않은 의무를 만듭니다.

성공적인 승인은 어떤 모습인가

소유자와 함께 허용된 서비스 하나와 계속 거부되어야 할 자원 하나로 설계를 승인받으십시오. 그 두 번째 절반이 사람들이 건너뛰는 부분이며, 경계가 그림이 말하는 곳에 있다는 것을 증명하는 유일한 부분입니다. 철회도 같은 방식으로 시험하되, 장비가 실제 업무를 지기 전에 하십시오. 승인이 나지 않으면 고객의 승인된 대안을 쓰거나 작업을 로컬에서 수행하십시오.

작동하는 연결은 접근 경로를 만들 권한이 아닙니다.

승인을 범위와 만료일과 함께 적어 두고 소유자에게 사본을 건네십시오. 그 네트워크를 다음에 만지는 사람은 기록을 읽습니다. 당신의 대화 기억이 아니라.