Always-on VPN: патека, дозвола и сесија одделно

Држењето тунел отворен деноноќно е дизајнерска одлука која има разумна и невнимателна верзија. Подружница што целиот ден има потреба од централна апликација, заедно со ноќна задача за резервна копија, има причина. Преносен компјутер оставен поврзан три дена во хотелска соба е несреќа.

Двете покажуваат иста зелена икона и двете одговараат исто ако прашате колку долго тунелот е отворен. Тој број не е интересниот. Важно е што врската држи достапно, за кого и што навистина ја завршува.

Три часовници што одат одделно

Првата состојба е патеката. Тунелот и неговите политики прават збир услуги достапни, а врска без сообраќај може да остане подготвена за следното барање. Колку долго останува подготвена е одлука на имплементацијата, не универзален тајмер.

Втората состојба е дозволата. Прифатен идентитет или уред може да биде овластен да ја користи таа патека. Таа овластеност треба да се менува кога се менува улога, уред исчезнува или се сомничи за компромитација, и таа е независна од тоа дали течат пакети.

Третата состојба е сопствената сесија на апликацијата. Клиент на база на податоци, оддалечена работна површина или веб-апликација се автентицираат одделно и држат сопствена состојба. Затворањето на тунелот не завршува нужно некоја од нив.

Преглед што ги третира овие три како едно прашање завршува со расправа за тајмери на неактивност. Секоја од трите може да биде здрава или расипана сама за себе, а наодот во едната кажува малку за другите. Контролна листа со три реда е подобра од дебата за една вредност на чекање. Напишете го одговорот за секоја состојба одделно.

Тунелот е патека, не значка

Воспоставен тунел е доказ дека постои заштитена патека меѓу два краја. Тоа не е доказ дека секој процес зад кој било крај мора да стигне до секоја услуга на другата страна.

Насоките на NIST за нулта доверба го кажуваат истото од другата страна: мрежната местоположба не треба да се третира како подразбрана доверба. Врската на локацијата е транспортен факт, а дозволата еден домаќин да користи една апликација е одделна одлука со сопствен сопственик.

Компромитиран партнер сепак може да обидува штетни дејства преку услуги до кои има дозвола да стигне. Филтрирањето и надзорот ги намалуваат конкретните ризици без да ги избришат последиците од компромитација на крајот. Дизајнирајте за патеката и овластете за услугата.

Оправдување на трајна врска на локација

Одбранливата верзија на постојано вклучено точно ја именува својата цел. Кои извори, кои одредишта, кој правец и кој поседува секој запис. Огноотпорен ѕид на подружница што дозволува секој домаќин на подружницата до секоја централна подмрежа не одржал врска за именувана цел; ја одржал за сè што некој подоцна ќе смисли.

Каде што партнерот не може да го достигне бараното ниво на доверба, стеснете ја границата или сменете го распоредот. Потпирањето на повремено рачно исклучување е процесна контрола, а процесните контроли се најмалку сигурни токму кога инцидент ги прави непријатни.

Чувајте го оправдувањето со конфигурацијата. Трајно исклучување со напишана цел може да се прегледа и повлече. Она без цел станува трајно по стандард.

Замена на клучеви не е отповикување

Замената на клучевите според распоред го одржува животниот циклус на заштитата. Ја освежува материјата и ја сочувува доверливоста. Но не го одзема правото на крајот.

Ако крајот сè уште има важечки акредитиви и политика за пристап што го прифаќа, следното договарање ја враќа истата дозволена патека. Затоа часовното вртење на клучеви не е одговор на изгубен уред: изгубениот уред исто така се врти додека неговиот идентитет е уште доверлив. Проверете го правото пред распоредот. Вртењето е хигиена, а отповикувањето е одлука за пристап.

Отповикувањето е друг механизам со сопствено задоцнување: отповикан сертификат, оневозможена сметка, сменета група, отстрането мрежно правило. Секое дејствува во различен момент и се однесува различно кон веќе воспоставени сесии.

Завршување на она што веќе работи

Прашајте што прави имплементацијата со воспоставените сесии кога пристапот се отстранува. Може да ги заврши, да чека истек или да примени документирано однесување помеѓу. Не претпоставувајте дека утрешното менување на допустот ќе ја затвори денешната врска на апликацијата.

За интерактивен пристап, границите на сесиите и правилата за неактивност дајте ги на сопствениците на идентитетот и VPN, а не само на мрежниот тим. За услуга на локација, определете ја постапката што одржувањето, прекин или безбедносен инцидент ја користи за исклучување на пристапот.

Потоа тестирајте три исходи: дозволената работа сè уште работи, неповрзана услуга е одбиена, а постапката за отстранување го дава документираниот резултат. Дизајнот на постојано вклучено е прифатлив кога неговата цел, овластување и способност за исклучување се сите запишани и вежбани. Инаку тоа е погодност што го надживеала својот причин.