Always-on VPN: kelias, leidimas ir sesija atskirai

Laikyti tunelį atidarytą visą parą yra dizaino sprendimas, turintis pagrįstą ir nerūpestingą variantą. Filialui, kuriam visą dieną reikia centrinės programos, o naktį atsarginės kopijos darbo, yra priežastis. Nešiojamasis kompiuteris, tris dienas paliktas prijungtas viešbučio kambaryje, yra nelaimė.

Abu rodo tą pačią žalią piktogramą ir abu atsako vienodai, jei paklausite, kiek laiko tunelis atidarytas. Tas skaičius nėra įdomus. Svarbu tai, ką ryšys laiko pasiekiama, kam ir kas jį iš tikrųjų užbaigia.

Trys laikrodžiai, einantys atskirai

Pirmoji būsena yra kelias. Tunelis ir jo politikos padaro pasiekiamą paslaugų rinkinį, o ryšys be srauto gali likti paruoštas kitam užklausimui. Kiek ilgai jis lieka paruoštas, yra įgyvendinimo sprendimas, o ne universalus laikmatis.

Antroji būsena yra leidimas. Priimta tapatybė arba įrenginys gali būti įgaliotas naudoti tą kelią. Šis įgaliojimas turėtų keistis, kai keičiasi vaidmuo, dingsta įrenginys arba įtariamas pažeidimas, ir jis nepriklauso nuo to, ar paketai teka.

Trečioji būsena yra paties taikymo sesija. Duomenų bazės klientas, nuotolinis darbalaukis arba žiniatinklio programa autentifikuojasi atskirai ir palaiko savo būseną. Tunelio uždarymas nebūtinai užbaigia bent vieną iš jų.

Apžvalga, kuri šias tris traktuoja kaip vieną klausimą, baigiasi ginču dėl tuščiosios eigos laikmačių. Kiekviena jų gali būti sveika arba sugedusi atskirai, o radinys vienoje mažai pasako apie kitas. Trijų eilučių kontrolinis sąrašas geresnis už ginčą dėl vienos laukimo reikšmės. Parašykite atsakymą kiekvienai būsenai atskirai.

Tunelis yra kelias, o ne ženklelis

Sukurtas tunelis yra įrodymas, kad tarp dviejų galų egzistuoja apsaugotas kelias. Tai nėra įrodymas, kad kiekvienas procesas už bet kurio galo turi pasiekti kiekvieną paslaugą kitoje pusėje.

NIST nulinio pasitikėjimo gairės sako tą patį iš kitos pusės: tinklo vieta neturi būti laikoma numanomu pasitikėjimu. Svetainės ryšys yra transporto faktas, o leidimas vienam mazgui naudoti vieną programą yra atskiras sprendimas su savo savininku.

Pažeistas partneris vis tiek gali bandyti kenksmingus veiksmus per paslaugas, kurias jam leidžiama pasiekti. Filtravimas ir stebėjimas sumažina konkrečias rizikas, bet nepanaikina galo pažeidimo pasekmių. Projektuokite keliui ir įgalinkite paslaugai.

Nuolatinio svetainės ryšio pagrindimas

Ginamas visada įjungto variantas tiksliai įvardija savo tikslą. Kokie šaltiniai, kokie tikslai, kokia kryptis ir kam priklauso kiekvienas įrašas. Filialo užkarda, leidžianti kiekvienam filialo mazgui pasiekti kiekvieną centrinį potinklį, nepalaikė ryšio įvardytam tikslui; ji palaikė jį viskam, ką kas nors vėliau sugalvos.

Kai partneris negali pasiekti reikalaujamo pasitikėjimo lygio, susiaurinkite ribą arba pakeiskite išdėstymą. Pasikliovimas retkarčiais rankiniu atjungimu yra proceso kontrolė, o proceso kontrolės mažiausiai patikimos būtent tada, kai incidentas padaro jas nepatogias.

Laikykite pagrindimą kartu su konfigūracija. Nuolatinė išimtis su parašytu tikslu gali būti peržiūrėta ir atšaukta. Be tikslo ji tampa nuolatine pagal nutylėjimą.

Raktų keitimas nėra atšaukimas

Raktų keitimas pagal grafiką palaiko apsaugos gyvavimo ciklą. Jis atnaujina medžiagą ir išsaugo konfidencialumą. Tačiau neatima galo teisės.

Jei galas vis dar turi galiojančius prisijungimo duomenis ir jį priimančią prieigos politiką, kitos derybos atkuria tą patį leidžiamą kelią. Todėl kasvalandinis raktų sukiojimas nėra atsakymas į pamestą įrenginį: pamestas įrenginys taip pat sukasi, kol jo tapatybė dar patikima. Patikrinkite teisę prieš grafiką. Sukiojimas yra higiena, o atšaukimas yra prieigos sprendimas.

Atšaukimas yra kitas mechanizmas su savo delsa: atšauktas sertifikatas, išjungta paskyra, pakeista grupė, pašalinta tinklo taisyklė. Kiekvienas įsigalioja skirtingu momentu ir elgiasi skirtingai su jau sukurtomis sesijomis.

Užbaigti tai, kas jau vyksta

Paklauskite, ką įgyvendinimas daro su sukurtomis sesijomis, kai prieiga pašalinama. Jis gali jas užbaigti, laukti pasibaigimo arba taikyti dokumentuotą elgesį tarp jų. Nemanau, kad rytojaus priėmimo pokytis uždarys šiandienos programos ryšį.

Interaktyviai prieigai sesijų limitus ir neveiklumo taisykles perduokite tapatybės ir VPN savininkams, o ne tik tinklo komandai. Svetainės paslaugai nustatykite procedūrą, kurią priežiūra, sutrikimas ar saugumo incidentas naudoja prieigai išjungti.

Tada išbandykite tris rezultatus: leidžiamas darbas vis dar veikia, nesusijusi paslauga atmetama, o pašalinimo procedūra duoda dokumentuotą rezultatą. Visada įjungtas dizainas priimtinas, kai jo tikslas, įgaliojimas ir išjungimo galimybė yra užrašyti ir praktikuoti. Priešingu atveju tai patogumas, pergyvenęs savo priežastį.