Bloķēt vienu ierīci no VPN, neizslēdzot visu kontu

Viens darbinieks, divi klēpjdatori, un tikai vienam no tiem jāzaudē piekļuve. Konta atspējošana ir acīmredzama svira, taču tā soda nepareizo apjomu, savukārt saglabātā profila dzēšana galapunktā ir ieteikums, nevis kontrole. Lēmums reducējas uz trim nosacījumiem: vai pastāv ierīces identitāte, ko VPN var pārbaudīt, vai šis konkrētais savienojums to patiešām novērtē, un ko jūs vēlaties, lai notiktu ar ierīci, nevis ar cilvēku. Atbildiet uz tiem šajā secībā, un izpilde parasti izvēlas pati sevi.

Pirmais nosacījums: vai ir ierīces pierādījumi, ko VPN var pārbaudīt?

Avota adrese tiek koplietota aiz biroja NAT un mainās mobilajos tīklos. Resursdatora nosaukums ir tas, ko ierīce apgalvo, MAC adresi ir viegli viltot, un reģistra vērtību var ierakstīt jebkas ar lokālām tiesībām. Neviens no tiem nav identitāte, kamēr kaut kas to nepārbauda. Atsevišķi reģistrēta ierīces akreditācija, piemēram, šim galapunktam izsniegts sertifikāts, ir vienīgā iespēja, kas atsaukšanai dod mērķi šaurāku par lietotāja kontu.

Akreditācija skaitās tikai tad, ja savienojums ar to autentificējas un katrā mēģinājumā validē ķēdi. Fails, kas atrodas mašīnas krātuvē, neko nepierāda.

Otrais nosacījums: vai šis savienojums to novērtē?

Galapunkta atribūti nav universāli. ASA gadījumā Cisco ASDM DAP rokasgrāmata atdala lietotāja AAA informāciju no galapunkta novērtējuma atribūtiem, un tas, kuri atribūti ir pieejami, ir atkarīgs no izmantotā attālās piekļuves protokola, izvietotajiem posture rīkiem un licences. Reģistra pārbaudei ir vajadzīgs atbalstīts vākšanas ceļš, un arī tad tā ziņo, ko redzēja galapunkta rīks, nevis to, ka mašīna ir tā, kurai jūs uzticaties.

Tāpēc praktiskais jautājums ir šaurs: šajā tunelī, ar šo klientu un šo posture aģentu, kurš atribūts pienāk aizpildīts un uzticams? Ja atbilde ir neviens, pret to rakstītā politika atbildīs nekam vai visam, un abi iznākumi ir sliktāki par konta bloķēšanu, no kuras izvairījāties.

Trešais nosacījums: noraidīšana, labošana vai šaurāka piekļuve?

Ir pieejami trīs iznākumi, un tie nav aizstājami. Jūs varat pārtraukt sesiju, kas pilnībā noņem piekļuvi; jūs varat ievietot ierīci karantīnā tādā stāvoklī, kur tā sasniedz tikai labošanas resursus; vai arī varat atstāt sesiju un sagriezt tās resursu ACL līdz dažām lietām, kas šai ierīcei vēl vajadzīgas. DAP sesijas darbības un resursu ACL atbild uz dažādiem jautājumiem, tāpēc izvēle ir par to, cik lielu blakus zaudējumu cilvēkam jāiztur.

Pazaudētam vai nozagtam klēpjdatoram atbilde parasti ir pārtraukšana. Mašīnai, kas neizturēja posture pārbaudi, labošana ir saudzīgāka un tikpat iedarbīga.

Izlemiet, kas notiek, ja pierādījumu trūkst

Noklusējuma ceļš ir svarīgāks par noteikumu, ko rakstījāt labajam gadījumam. Ja gaidītais atribūts nekad nepienāk, jo posture aģents ir salauzts, politika, kas to prasa, var iekrist noklusējumā, kas ielaiž sesiju. Izlasiet noklusējuma rezultātu un apzināti pārbaudiet gadījumu bez pierādījumiem, jo tieši tādu stāvokli uzrādīs uzbrucējs, kurš noņem aģentu.

Vairāki atbilstoši DAP ieraksti tiek agregēti, nevis risināti ar vienkāršu pirmās atbilstības secību, un to ACL prioritāte ir atsevišķs mehānisms no ieraksta izvēles. Izlasiet rokasgrāmatas agregācijas aprakstu, pirms pieņemat, ka uzvar stingrākais ieraksts.

Apstrādājiet jau esošās sesijas, pēc tam pārbaudiet abas ierīces

Uzņemšanas noteikuma maiņa vai akreditācijas atsaukšana neapraksta, kas notiek ar jau izveidotu sesiju, kas pārvada satiksmi. Ja nepieciešama tūlītēja noņemšana, sekojiet ieviešanas atbalstītajai sesijas pārtraukšanas un pārvērtēšanas procedūrai, nevis gaidiet nākamo atkārtoto savienojumu. Šis ir solis, kas incidenta laikā tiek izlaists visbiežāk, un tā ir atšķirība starp politiku un iznākumu.

Pārbaudiet ar to pašu atļauto lietotāju abās mašīnās apstiprinātas pārbaudes ietvaros. Bloķētajai ierīcei jāsaņem tieši paredzētā noraidīšana vai labošanas iznākums, bet otrai jāsaglabā tikai tās autorizētie resursi. Tas pārbauda ierīces robežu, neatsaucot cilvēka citu apstiprināto piekļuvi.

Ja nevarat padarīt šos divus iznākumus atšķirīgus, problēma ir pierādījumos, nevis politikā, un nekāda noteikumu pielāgošana to neizlabos.