Blockéiert d'VPN-Geräterzoustandspréifung net? Verfollegt d'éischt de Rapport
Ären Endpunkt-Agent mellt e gesonden Zoustand, awer déi intern App geet nach ëmmer op. Gitt de Sammler, den Uerteel an de Block duerch, a bewise dann d'Refus mat enger eenzeger Ufro.
Wann e Laptop, deem seng Antivirus-Signaturen virun Wochen opgehalen hunn sech z'aktualiséieren, nach ëmmer Är intern App ka opmaachen, dann ass et seelen den Dokument vun der Politik, dee falsch ass. Dräi getrennte Systemer mussen eens ginn, ier den Zougang verwäigert gëtt: eppes misst den Endpunkt, eppes verwandelt dës Miessung an en Uerteel erlaben oder verwäigern, an eppes schléisst den Traffic wierklech erof. Wann en net-konformt Gerät trotzdeem erakënnt, feelt genee ee vun dëse Glidder oder et vertraut Beweiser, déi et net sollt. D'Préifungen hei drënner lafen an där Reihenfolg, an all huet en Haltpunkt.
De Block ass de leschte Schrëtt, net den éischten
Authentifizéierung a Geräterzoustand beäntweren verschidde Froen. Eng erfollegräich Umeldung beweist, datt en Noutweis presentéiert gouf; si seet näischt iwwer d'Software, déi op der Maschinn leeft, déi en presentéiert huet. Genau dës Lück erlaabt et engem kopéierte Clientprofil, eng gesond ausgesinn Sessioun op en ongesonde Host ze droen.
D'Aarbecht un der Endpunktkonformitéit huet schonn e Vokabulär fir dës Kette. Den NEA-Referenzmodell am RFC 5209 deelt d'Aufgab an e Sammler, en Bewäertungsschratt an en Duerchsetzungspunkt, a seet kloer, datt e Client, dee lügt iwwer säin eegenen Zoustand, ausserhalb vum Modell steet. Dëse Virbehalt ass méi wichteg wéi den Diagramm: en vertrauenswürdege Plattformmodul mécht eng selbst gemellt Miessung net zu enger Tatsaach.
Halt de Sammler éierlech wat den Ëmfang ugeet. En soll d'Attributer mellen, déi Är Politik nennt, um Gerät, dat Zougang freet, a wéineg anescht. En Inventar-Agent, deen all installéiert Paket oplëscht, ass en anert Instrument wéi e Zoustandssammler, an den Ënnerscheed ass gläichzäiteg e Problem vun der Opbewahrung an der Genauegkeet. Wann de Rapport net un eng eenzeg Gerätidentitéit gebonne ka ginn, da roppt de Bewärter, wéi eng Maschinn hien grad fräiginn huet.
En Dashboard mat roude Status ass keng Kontroll. Fro wien engem verwäigerte Benotzer nach erreeche kann: de Wiki, d'Dateifräigab, de Datebankport? D'Behiewung brauch eng schmuel Uewerfläch, an alles anescht gehéiert hannert de Block.
Liest de Rapport, ier Dir d'Regel liest
Fänkt un der Quell un an net beim grénge Haken vum Client. Op Windows kënnt d'lokal Miessung vum Defender oder vum Produkt, dat sech beim Security Center registréiert huet, an alleb zwee si liesbar ouni Hierstellerkonsole:
Get-MpComputerStatus | Select-Object AMServiceEnabled, RealTimeProtectionEnabled, AntivirusSignatureLastUpdated
Get-CimInstance -Namespace root/SecurityCenter2 -ClassName AntiVirusProduct | Select-Object displayName, productStateDen zweeten Uerder gëtt eng ganz Zuel mam Numm productState zréck. Seng Bits si lass dokumentéiert an d'Hiersteller packen d'Flaggen fir Aktivéierung an Aktualitéit ënnerschiddlech, also bestätegt se amplaz se ze analyséieren. Drëtt-Partei-Suiten hannerloossen och den Entrag am Security Center nom Deinstalléieren, an dee mellt Software, déi net méi op der Plad ass.
Den Alter ass d'Feld, dat d'Leit iwwersprangen. En Zäitstempel vun der Signatur bedeit nëmmen eppes géint d'Auer vun der Maschinn, déi d'Bewäertung mécht, also wandelt en an en Intervall ëm amplaz en am A behuelen ze schätzen:
$sig = (Get-MpComputerStatus).AntivirusSignatureLastUpdated
[int](New-TimeSpan -Start $sig -End (Get-Date)).TotalHoursElo huet d'Politik eng Zuel ze liesen. Wann Är Regel 72 Stonne seet, ass dat d'Zuel, déi se benotzt, an e Laptop, deen eng Woch schléift, fällt duerch ouni datt een en Etikett interpretéiert. Notéiert d'Schwell nieft dem Uerder, well déi zwee driften auserneen, wann den Endpunktinstrument ersat gëtt.
Verwandelt all Gerätzoustand an en schriftlechen Uerteel
Déi meescht Sträit iwwer den Zoustand sinn tatsächlech Sträit iwwer déi onbekannt Zeil. Entscheet et virum éischten Tëschefall, an enger Tabell, déi de Beweis, den Uerteel an den Eegentemer nennt, sou datt keen op der Gatewaykonsole improvisesch handelt.
| Evidence the assessor has | Verdict | What it protects against |
|---|---|---|
| Timestamp inside the policy window, protective service running | Admit to normal applications | Nothing yet; the other checks still apply |
| Timestamp older than the window | Deny, admit remediation page only | Signature rollback and dormant laptops |
| Service disabled or reporting off | Deny, escalate to the endpoint owner | An agent reporting stale success |
| No report at all for this session | Treat as deny, never as healthy | Agents that fail open under load |
Déi ënnescht Zeil ass et, wou d'Produkter sech ënnerscheeden. Verschidde Gateways verwäigere sech ze verbannen a erkläre firwat; anerer loossen den Tunnel eropkommen a wanden eng restriktiv Politik un; e puer falen op de leschte bekannten gudde Rapport zréck. Nëmmen déi éischt zwee si verdeedegbar, an et ass et wäert ze testen, wat Ären mécht.
Halt d'Identitéit an d'Erlabnes och a sengen eegene Gidder. E Laptop, deen all Zoustandstest mécht, brauch fir d'App nach ëmmer déi richteg mënschlech Autorisatioun, an en Gerätezertifikat beweist de Besëtz vun engem Schlëssel, net den Zoustand vum Dateisystem. Déi dräi an een eenzegen Boolean ze quetchen ass de Wee, wéi en Helpdesk-Konto permanent Zougang zur Produktioun kritt.
Préift den Duerchsetzungswee mat enger Ufro, net mat engem Dashboard
Duerchsetzung ass eng Eegeschaft vun enger Ufro, also misst se mat enger. Setzt eng net-konform Maschinn op den Tunnel a maacht dee Call, deen e richtegen Benotzer géif maachen:
curl -sS -o /dev/null -w '%{http_code}
' --max-time 5 https://app.internal.example/healthEng 200 vun engem Gerät, déi sollt blockéiert sinn, bedeit, datt d'Entscheedung ni op de Datenwee komm ass. Zwee üblech Ursaachen: d'Politik hänkt u enger Grupp, déi de Testkonto ni bäigetrueden ass, oder d'App ass iwwer eng Route erreechbar, déi d'VPN net besëtzt.
Préift d'éischt d'Routing-Annam. Wann den internen Numm sech op eng Adress opléist, déi de Client scho iwwer de lokale LAN erreecht, ass den Tunnel irrelevant a keng Politik gëtt ugewannt. Vergläicht déi Adress mat der Route, déi de Gateway dréckt. Op OpenVPN lieft d'Politik pro Client a Fichieren, déi um gemeinsamen Numm verschlësselt sinn, also ass et einfach se z'iwwerprüfen:
ls /etc/openvpn/ccd/
cat /etc/openvpn/ccd/laptop-17E Fichier mat disable trennt dee Client komplett of, wärend eng Zeil push "route ..." enk mécht, wou en nach erreeche kann. Béides ass Duerchsetzung, a béides ass sichtbar fir jiddereen, deen de Rapport debuggt.
Test déi véier Fäll op engem eenzegen Testkonto
D'lescht Kontroll ass eng kleng Matrix, net en gléckleche Wee. Fuert een Testkonto duerch véier Zoustand: aktuell, ofgelafene Signatur, Schutz ausgeschalt, Agent net installéiert. Fir jiddereen notéiert den Uerteel am Bewäertungslog, den HTTP-Status, deen d'App zréckgëtt, an ob d'Behiewungssäit gelueden ass.
foreach ($case in 'current', 'stale', 'disabled', 'absent') {
Get-MpComputerStatus | Select-Object AMServiceEnabled, AntivirusSignatureLastUpdated
curl.exe -sS -o NUL -w "%{http_code}
" --max-time 5 https://app.internal.example/health
}Zwee Detailer si liicht ze iwwersinn. Éischtens d'Widderhuelung: e Rapport, dee gefaangen gouf, wéi d'Maschinn gesond war, däerf net fir eng spéider Sessioun op dem selwechten Gerät ugeholl ginn, also sicht en Zäitstempel, dee mat der aktueller Verbindung gebonnen ass. Dann d'Ewechhuelen: den Agent deinstalléieren soll déiselwecht Refus ginn wéi en ale Rapport, net en propper Duerchgang, an genau dee Fall gëtt am dacksten ni getest.
Wann d'Matrix mat der Tabell iwwereneen ass, iwwergitt dräi Saachen un deen, deen de Gateway duerno bedreift: d'Uerderen, d'Schwell an déi véier erwaart Resultater. Genau déi Iwwerleeferung ass déi richteg Deliberable, well en Zoustandsdesign, dat nëmmen an engem Politikdokument lieft, driftt déi éischt Kéier, wann den Endpunktinstrument säi Rapportfeld ännert.