Klientu VPN piekļuve: dodiet privileģētajam darbam savu ierīci

Savienojuma profils saka Production, tunelis paceļas, un katrs datora logs tagad var sasniegt klienta sistēmas. Nekas šajā secībā neatdalīja privileģēto sesiju no blakus esošās pārlūka cilnes. VPN profils ir nosaukums un maršrutu kopa; robeža, kas jums patiešām svarīga, tiek veidota no ierīces identitātes, kontrolētas izpildes vides un akreditācijas datu ceļa. Šie trīs tiek ieviesti dažādās vietās, tāpēc, pievienojot vienu un izlaižot pārējos, rodas risinājums, kas izskatās atbilstošs, bet nav.

Profila nosaukums nav robeža

Klients piemēro maršrutus un DNS konfigurāciju, kad tunelis paceļas, un viss, kas pēc tam darbojas šajā mašīnā, manto abus.

Nosaukums nolaižamajā sarakstā maina to, ko atpazīst operators, nevis to, ko atļauj operētājsistēma.

Ierīces identitāte ir tas, ko vārteja var pārbaudīt

Vārteja, kas atbalsta ierīces sertifikātus vai stāvokļa pārbaudes, autentificē gan mašīnu, gan personu. Tieši šis slānis var atteikt savienojumu no nepārvaldīta portatīvā datora, pirms kāds ieraksta paroli. Tas arī dod ko konkrētu atsaukt, kad ierīce pazūd. Viena sertifikāta kopēšana uz trim mašīnām noņem tieši šo īpašību, tāpēc sertifikāta dzīves cikls pieder vienošanās dokumentam, nevis koplietotai mapei.

Klients izlemj, kuras no šīm kontrolēm prasa viņa politika, un piegādātāja būvēta virtuālā mašīna var nemaz neizpildīt stāvokļa pārbaudi.

Kur virtuālās mašīnas robeža noplūst

Virtuālā mašīna tur kopā klienta rīkus un tīkla stāvokli, un tas patiešām ir noderīgi. Tomēr tā ir atkarīga no sava saimnieka un hipervizora, un vairākas ērtības šķērso robežu: koplietotās mapes, starpliktuves integrācija, akreditācijas datu aģenti un pārvaldības piekļuve saimnieka līmenī. Privileģēts viesis ikdienā lietotā saimniekā nav neatkarīgi uzticams, jo saimnieks var novērot, ko viesis dara. Uztveriet virtuālo mašīnu kā kontroli, kas samazina iedarbību, nevis kā atsevišķu drošības domēnu.

Īpaša fiziska ierīce novērš atkarību no saimnieka un tās vietā pievieno uzturēšanas pienākumu.

Akreditācijas dati un pārsūtīšanas ceļi

Izmantojiet atsevišķas, atsaucamas identitātes katram inženierim un katram klientam, un turiet tās prom no personīgajiem pārlūka profiliem un tērzēšanas vēstures. Akreditācijas datus, ko koplieto visa komanda, nevar tīri attiecināt, rotēt vai atsaukt. Pirms pirmās sesijas izlemiet rīku, failu un diagnostikas izvades pārsūtīšanas ceļu, jo nejauša failu pārvietošana ir tas veids, kā robeža klusi pārstāj būt robeža. Ja vienlaikus jāsasniedz divi klienti, vispirms saņemiet tīkla un identitātes atdalīšanas apstiprinājumu.

Nekad nesavienojiet divus klientu tīklus caur vienu darbstaciju tikai tāpēc, ka tajā pēcpusdienā tas bija ērti.

Vienošanās, kas to padara atkārtojamu

Uzrakstiet īsu ierakstu par katru klientu un glabājiet to tur, kur to atradīs abas puses. Tajā jānorāda apstiprinātā ierīce vai attālinātā vide un tas, kas to uztur, atļautās identitātes, sistēmas un darbības, ko tās var sasniegt, pārsūtīšanas ceļš un parastais sesijas beigu veids.

Piecas rindas, ko kāds pārskata, kad cilvēks ienāk vai aiziet, pārspēj politiku, ko neviens nevar piemērot:

• Apstiprinātā ierīce vai attālinātā vide ar nosauktu uzturēšanas īpašnieku.
• Atsevišķas lietotāja un ierīces identitātes, kas atļautas atbalstam.
• Sistēmas un darbības, ko šīs identitātes var sasniegt.
• Atļautais ceļš rīkiem, failiem un diagnostikas izvadei.
• Sesijas beigšanas process un pilnvarota ārkārtas alternatīva.

Ārkārtas piekļuve, nepārvietojot akreditācijas datus

Kad kontrole bloķē steidzamu remontu, ceļš ir izņēmuma process, nevis otrs portatīvais dators ar tiem pašiem akreditācijas datiem. Apstiprināts izņēmums reģistrē, kas to pilnvaroja, kas tika atvieglots un kad tas beidzas. Akreditācijas datu pārvietošana uz ikdienas mašīnu maina robežu sliktākajā iespējamajā brīdī, un parasti tā arī paliek mainīta. Ārkārtas ceļš ir pelnījis mācības, kamēr nekas nav salūzis.

Pēc tam beidziet sesiju tā, kā saka vienošanās, un apstipriniet, ka piekļuve patiešām ir apstājusies.