Piedāvāt attālinātās piekļuves ierīci, ko tīkla īpašnieks var apstiprināt

Attālinātās piekļuves ierīce maina klienta tīkla robežu pat tad, ja tā zvana uz āru un tai nav vajadzīga neviena ienākošā ostas pāradresācija. Tieši virziens uz āru padara to viegli instalējamu un viegli nepamanāmu. Prezentējiet to kā piekļuves projektēšanas pieprasījumu, pirms tā nonāk tīklā. Prezentēt to kā kaut ko, ko nevajadzēja pieminēt, ir veids, kā tehniski panākumi pārvēršas līguma problēmā.

Pieņemiet, ka tīkla īpašnieks uzdos četrus jautājumus: ko, kas, cik tālu un kā mēs to atceļam.

Lūdziet resursu, nevis apakštīklu

Aprakstiet darbu ar terminiem, ko izmanto īpašnieks: kurai personai vajadzīgs kurš pakalpojums, kurā ierīcē un cik ilgi. Pieprasījumu, kas ierobežots ar vienu lietojumprogrammu vienā resursdatorā, ir viegli apstiprināt. Pieprasījums par apakštīklu ir pieprasījums pārkārtot kāda cita segmentāciju.

Iespējams, klientam jau ir apstiprināts VPN, attālinātās darbvirsmas vārteja vai pārvaldīts atbalsta kanāls, kas apmierina vajadzību. Pārbaudiet to vispirms, jo esoša ceļa atkārtota izmantošana parasti ir lētākā atbilde abām pusēm. Ja tas neder, pasakiet precīzi, kāpēc. Šis salīdzinājums ir spēcīgākā priekšlikuma daļa.

Ja ierīce patiešām ir vajadzīga, atnesiet tās īpašnieku, programmatūras avotu, atjaunināšanas procesu un paredzēto uzstādīšanas vietu.

Parādiet savienojumu un kur beidzas uzticība

Uzzīmējiet ierīci, attālināto lietotāju, jebkuru starpnieku vai releju un aizsargāto resursu. Atzīmējiet, kur beidzas šifrēšana un kas pārvalda katru galapunktu. Izejošā sesija joprojām ievieš jaunu vadības ceļu, un diagrammā tas kļūst redzams. Apgalvojums, ka datplūsma ir šifrēta, atbild uz konfidencialitātes jautājumu un ne uz vienu autorizācijas jautājumu.

Nosauciet režīmu skaidri: pakešu pāradresācija, lietojumprogrammu starpniekserveris vai atklāta darbvirsma. Katram ir atšķirīgas sekas maršrutēšanai un resursdatora drošībai, un katrs neizdodas citādi, kad ierīce tiek kompromitēta.

Turiet nesaistītos klienta tīklus un pašas ierīces administrēšanas saskarni ārpus apstiprinātā tvēruma.

Atdaliet lietotāja identitāti no ierīces identitātes

Lietotāju reģistrācija, ierīces identitāte, daudzfaktoru autentifikācija un pieteikšanās lietojumprogrammā ir četras dažādas kontroles, un priekšlikumam būtu jānosauc katra no tām. Koplietoti pieteikšanās dati ir ierastais saīsinājums, un tie atstāj īpašnieku bez iespējas atsaukt vienu personu, netraucējot visiem. Pieteikšanās būtu jāatstāj lietojumprogrammai. Ierīce autentificē savienojumu; pakalpojums izlemj, ko šis savienojums drīkst darīt.

NIST nulles uzticības arhitektūra šeit ir noderīga, jo tā resursu piekļuvi traktē kā skaidru lēmumu, nevis kā tīkla atrašanās vietas sekas.

Vienojieties par atjaunošanu un noņemšanu pirms instalācijas

Īpašniekam vajadzētu būt iespējai ātri atslēgt piekļuvi ar savu pārvaldītu kontroli, nevis ar zvanu jums. Pierakstiet pieteikšanās datu atsaukšanu, ierīces noņemšanu, atbildību par atjauninājumiem un derīguma vai pārskatīšanas datumu. Saglabājiet vietēju atjaunošanas ceļu, kas nav atkarīgs no jaunā attālinātā kanāla. Ierīce, ko neviens nevar noņemt bez piegādātāja, ir pastāvīga atkarība, kas maskēta kā ērtība.

Veiciet uzskaiti samērīgi: apstiprinātas identitātes, piekļuves tvērums, nozīmīgas izmaiņas un attiecīgi traucējumi.

Nesaistītas pārlūkošanas vēstures vākšana, lai pierādītu, ka ierīce pastāv, nav labas darbības pierādījums, un tā rada saistības, ko īpašnieks nekad nav prasījis.

Kā izskatās veiksmīgs apstiprinājums

Pieņemiet projektu kopā ar īpašnieku ar vienu atļautu pakalpojumu un vienu resursu, kam jāpaliek liegts. Šī otrā puse ir daļa, ko cilvēki izlaiž, un tā ir vienīgā daļa, kas pierāda, ka robeža atrodas tur, kur saka diagramma. Pārbaudiet atsaukšanu tāpat, pirms ierīce nes reālu darbu. Ja apstiprinājums tiek aizturēts, izmantojiet klienta apstiprināto alternatīvu vai veiciet darbu uz vietas.

Darbojošs savienojums nav atļauja izveidot piekļuves ceļu.

Pierakstiet apstiprinājumu ar tā tvērumu un termiņu, un nododiet īpašniekam kopiju. Nākamais cilvēks, kas pieskaras šim tīklam, lasīs ierakstu, nevis jūsu atmiņu par sarunu.