Бүх бүртгэлийг идэвхгүй болгохгүйгээр VPN-ээс нэг төхөөрөмжийг блоклох

Нэг ажилтан, хоёр зөөврийн компьютер, тэдний зөвхөн нэг нь хандалтаа алдах ёстой. Бүртгэлийг идэвхгүй болгох нь тод хөшүүрэг боловч буруу хүрээг шийтгэдэг, харин төгсгөлийн цэг дээр хадгалсан профайлыг устгах нь хяналт биш, санал юм. Шийдвэр нь гурван нөхцөлд хүрдэг: VPN шалгаж чадах төхөөрөмжийн таних тэмдэг байгаа эсэх, энэ тодорхой холболт үүнийг үнэхээр үнэлж байгаа эсэх, хүнд биш төхөөрөмжид юу болохыг хүсэж байгаа эсэх. Тэдгээрт энэ дарааллаар хариулбал хэрэгжилт ихэвчлэн өөрөө сонгогдоно.

Эхний нөхцөл: VPN шалгаж чадах төхөөрөмжийн нотолгоо байна уу?

Эх сурвалжийн хаяг нь оффисын NAT-ийн ард хуваалцдаг бөгөөд гар утасны сүлжээнд өөрчлөгддөг. Хостын нэр нь төхөөрөмжийн мэдэгдэж буй зүйл, MAC хаягийг хялбархан хуурамчаар үйлдэх боломжтой, бүртгэлийн утгыг локал эрхтэй юу ч бичиж болно. Эдгээрийн аль нь ч ямар нэг зүйл шалгах хүртэл таних тэмдэг биш. Тусдаа бүртгэгдсэн төхөөрөмжийн итгэмжлэл, жишээлбэл тухайн төгсгөлийн цэгт олгосон сертификат нь цуцлалтад хэрэглэгчийн бүртгэлээс илүү нарийн зорилт өгдөг цорын ганц сонголт юм.

Итгэмжлэл нь холболт түүгээр баталгаажиж, оролдлого бүрт гинжийг шалгаж байж л тооцогдоно. Машины агуулахад хэвтэж буй файл юуг ч нотлохгүй.

Хоёр дахь нөхцөл: энэ холболт үүнийг үнэлж байна уу?

Төгсгөлийн цэгийн шинж чанарууд нь бүх нийтийнх биш. ASA дээр Cisco-гийн ASDM DAP гарын авлага хэрэглэгчийн AAA мэдээллийг төгсгөлийн цэгийн үнэлгээний шинж чанаруудаас тусгаарладаг бөгөөд аль шинж чанар боломжтой нь ашиглаж буй алсын хандалтын протокол, байршуулсан posture хэрэгсэл, лицензээс хамаарна. Бүртгэлийн шалгалтад дэмжигдсэн цуглуулах зам хэрэгтэй бөгөөд тэр ч байтугай төгсгөлийн цэгийн хэрэгсэл юу харсныг мэдээлдэг, таны итгэдэг машин тэр нь гэсэн үг биш.

Тиймээс практик асуулт нарийн: энэ туннель дээр, энэ клиент болон энэ posture агенттай аль шинж чанар дүүрэн, найдвартай ирдэг вэ? Хариулт нь аль нь ч биш бол түүний эсрэг бичсэн бодлого юу ч таарахгүй эсвэл бүгдэд таарах бөгөөд хоёр үр дүн нь таны зайлсхийж байсан бүртгэлийн түгжээнээс дор.

Гурав дахь нөхцөл: татгалзал, засвар эсвэл илүү нарийн хандалт уу?

Гурван үр дүн боломжтой бөгөөд тэдгээр нь харилцан солигдохгүй. Та сессийг дуусгаж болно, энэ нь хандалтыг бүрэн арилгана; төхөөрөмжийг зөвхөн засварын нөөцөд хүрэх төлөвт карантинд оруулж болно; эсвэл сессийг үлдээж, түүний нөөцийн ACL-ийг тухайн төхөөрөмжид хараахан хэрэгтэй байгаа цөөн зүйл хүртэл багасгаж болно. DAP сессийн үйлдэл ба нөөцийн ACL нь өөр асуултад хариулдаг тул сонголт нь хүн хэр их хажуугийн хохирол үүрэх ёстой тухай юм.

Алдагдсан эсвэл хулгайлагдсан зөөврийн компьютерт хариулт нь ихэвчлэн дуусгах. Posture шалгалтад унасан машинд засвар нь илүү зөөлөн бөгөөд мөн адил үр дүнтэй.

Нотолгоо байхгүй үед юу болохыг шийдээрэй

Сайн тохиолдолд зориулж бичсэн дүрмээс илүү өгөгдмөл зам чухал. Хэрэв хүлээгдэж буй шинж чанар posture агент эвдэрснээс болж хэзээ ч ирэхгүй бол түүнийг шаардсан бодлого сессийг оруулдаг өгөгдмөлд унаж болно. Өгөгдмөл үр дүнг уншиж, нотолгоо байхгүй тохиолдлыг санаатайгаар шалгаарай, учир нь агентыг устгасан халдагч яг тэр төлөвийг үзүүлнэ.

Тохирох олон DAP бичлэг нь энгийн эхний тохирлын дарааллаар шийдэгдэхгүй, нэгтгэгддэг бөгөөд тэдгээрийн ACL давуу эрх нь бичлэг сонголтоос тусдаа механизм юм. Илүү хатуу бичлэг ялна гэж үзэхээс өмнө гарын авлагын нэгтгэлийн тайлбарыг уншина уу.

Аль хэдийн байгаа сессийг шийдвэрлэж, дараа нь хоёр төхөөрөмжийг шалга

Хүлээн авах дүрмийг өөрчлөх эсвэл итгэмжлэлийг цуцлах нь аль хэдийн тогтсон, трафик дамжуулж буй сессийд юу болохыг дүрслэхгүй. Хэрэв нэн даруй арилгах шаардлагатай бол дараагийн дахин холбогдолтыг хүлээхгүйгээр хэрэгжүүлэлтийн дэмждэг сессийг дуусгах, дахин үнэлэх журамд дагаарай. Энэ бол осолын үеэр хамгийн их алгасагддаг алхам бөгөөд бодлого ба үр дүнгийн ялгаа нь энэ.

Батлагдсан шалгалтын дор хоёр машин дээр ижил зөвшөөрөгдсөн хэрэглэгчтэй туршина. Блоклогдсон төхөөрөмж яг зорьсон татгалзал эсвэл засварын үр дүнг хүлээн авах ёстой, нөгөө нь зөвхөн өөрийн эрх бүхий нөөцийг хадгалах ёстой. Энэ нь хүний бусад батлагдсан хандалтыг цуцлахгүйгээр төхөөрөмжийн хил хязгаарыг шалгана.

Хэрэв та эдгээр хоёр үр дүнг ялгаж чадахгүй бол асуудал бодлогт биш, нотолгоонд байгаа бөгөөд дүрмийг тааруулах нь үүнийг засахгүй.