Užblokuoti vieną įrenginį VPN, neišjungiant visos paskyros

Vienas darbuotojas, du nešiojamieji kompiuteriai, ir tik vienas jų turi prarasti prieigą. Paskyros išjungimas yra akivaizdi svirtis, bet ji baudžia netinkamą apimtį, o išsaugoto profilio ištrynimas galiniame taške yra pasiūlymas, o ne kontrolė. Sprendimas susiveda į tris sąlygas: ar egzistuoja įrenginio tapatybė, kurią VPN gali patikrinti, ar šis konkretus ryšys ją iš tikrųjų įvertina, ir ko norite, kad atsitiktų įrenginiui, o ne asmeniui. Atsakykite jomis šia tvarka, ir vykdymas paprastai pasirenka pats.

Pirmoji sąlyga: ar yra įrenginio įrodymų, kuriuos VPN gali patikrinti?

Šaltinio adresas yra bendras už biuro NAT ir keičiasi mobiliojo ryšio tinkluose. Prieglobos vardas yra tai, ką teigia įrenginys, MAC adresą galima lengvai suklastoti, o registro reikšmę gali įrašyti bet kas, turintis vietines teises. Nė vienas iš jų nėra tapatybė, kol kažkas jos nepatikrina. Atskirai užregistruotas įrenginio kredencialas, pavyzdžiui, tam galiniam taškui išduotas sertifikatas, yra vienintelė galimybė, suteikianti panaikinimui siauresnį taikinį nei naudotojo paskyra.

Kredencialas skaičiuojamas tik tada, kai ryšys juo autentifikuojasi ir kiekvieną kartą patikrina grandinę. Byla, gulinti kompiuterio saugykloje, nieko neįrodo.

Antroji sąlyga: ar šis ryšys ją įvertina?

Galinio taško atributai nėra universalūs. ASA atveju Cisco ASDM DAP vadovas atskiria naudotojo AAA informaciją nuo galinio taško vertinimo atributų, o tai, kurie atributai prieinami, priklauso nuo naudojamo nuotolinės prieigos protokolo, įdiegtų posture priemonių ir licencijos. Registro patikrinimui reikia palaikomo rinkimo kelio, ir net tada jis praneša, ką matė galinio taško priemonė, o ne kad kompiuteris yra tas, kuriuo pasitikite.

Taigi praktinis klausimas siauras: šiame tune, su šiuo klientu ir šiuo posture agentu, kuris atributas atkeliauja užpildytas ir patikimas? Jei atsakymas yra nė vienas, prieš jį parašyta politika atitiks nieką arba viską, ir abu rezultatai yra blogesni už paskyros užraktą, kurio vengėte.

Trečioji sąlyga: atmetimas, taisymas ar siauresnė prieiga?

Yra trys rezultatai, ir jie nėra keičiami. Galite nutraukti sesiją, o tai visiškai pašalina prieigą; galite patalpinti įrenginį į karantiną tokioje būsenoje, kai jis pasiekia tik taisymo išteklius; arba galite palikti sesiją ir apkarpyti jos išteklių ACL iki kelių dalykų, kurių tam įrenginiui dar reikia. DAP sesijos veiksmai ir išteklių ACL atsako į skirtingus klausimus, todėl pasirinkimas yra apie tai, kiek šalutinės žalos asmuo turi pakelti.

Pamestam ar pavogtam nešiojamajam kompiuteriui atsakymas paprastai yra nutraukimas. Kompiuteriui, kuris nepraėjo posture patikros, taisymas yra švelnesnis ir toks pat veiksmingas.

Nuspręskite, kas atsitinka, kai trūksta įrodymų

Numatytasis kelias svarbesnis už taisyklę, kurią parašėte geram atvejui. Jei laukiamas atributas niekada neateina, nes posture agentas sugedęs, politika, kuri jo reikalauja, gali nukristi į numatytąjį, kuris įleidžia sesiją. Perskaitykite numatytąjį rezultatą ir sąmoningai išbandykite atvejį be įrodymų, nes būtent tokią būseną pateiks užpuolikas, pašalinęs agentą.

Keli atitinkantys DAP įrašai yra agreguojami, o ne sprendžiami paprasta pirmo atitikimo tvarka, o jų ACL prioritetas yra atskiras mechanizmas nuo įrašo pasirinkimo. Perskaitykite vadovo agregavimo aprašymą prieš manydami, kad laimi griežtesnis įrašas.

Tvarkykite jau esamas sesijas, tada išbandykite abu įrenginius

Priėmimo taisyklės pakeitimas ar kredencialo panaikinimas neaprašo, kas atsitinka jau užmegztai sesijai, kuri praleidžia srautą. Jei reikalaujama nedelsiant pašalinti, vadovaukitės įgyvendinimo palaikoma sesijos nutraukimo ir pervertinimo procedūra, o ne laukite kito pakartotinio prisijungimo. Tai žingsnis, kuris per incidentą praleidžiamas dažniausiai, ir tai yra skirtumas tarp politikos ir rezultato.

Išbandykite su tuo pačiu leidžiamu naudotoju abiejuose kompiuteriuose pagal patvirtintą patikrą. Užblokuotas įrenginys turi gauti būtent numatytą atmetimą ar taisymo rezultatą, o kitas turi išlaikyti tik savo autorizuotus išteklius. Tai patikrina įrenginio ribą nepanaikinus kito asmens patvirtintos prieigos.

Jei negalite padaryti šių dviejų rezultatų skirtingų, problema yra įrodymuose, o ne politikoje, ir joks taisyklių derinimas to neištaisys.