Visual Studio зөвхөн VPN дээр удаан уу? CRL болон OCSP-г шалгаарай

Visual Studio гэртээ хэвийн эхэлдэг, дараа нь ижил зөөврийн компьютер корпорацийн туннельд холбогдож, эхлэл бүр хагас минут эхлэх дэлгэц дээр зогсдог. Бодлогыг авбал саатал түүнтэй хамт арилна; туннелийг авбал мөн адил зүйл тохиолдоно. Хоёр ажиглалт хоёулаа зөв тул хоёр бүрэлдэхүүн байнга бие биенээ буруутгадаг. Шийдвэрлэх асуулт нь гэрчилгээний хүчингүй болгох асуулт зөвхөн туннелийн санал болгодог замыг хүлээж байгаа эсэх, эсвэл огт зам олохгүй байгаа эсэх юм.

Эхлэлтийг биш татан авалтыг хэмж

Нэг WDAC бодлого, гарын үсэгтэй SiPolicy.p7b хэлбэрээр байрлуулсан, машин дээр ямар дүрс ажиллаж болохыг тодорхойлно. Кодын бүрэн бүтэн байдал гүйцэтгэхээс өмнө дүрсийн гарын үсгийн гинжийг баталгаажуулдаг бөгөөд энэ баталгаажуулалтад хүчингүй болгох асуулт орж болно. Хариулт нь гэрчилгээ өөр дотор нэрлэсэн CRL түгээх цэг эсвэл OCSP хариулагчаас хамаарна.

Эдгээр нь энгийн сүлжээний хүсэлт тул тэдний өртөг хариулагч хаана байгаагаас хамаарна. Түүнд зөвхөн туннелээр хандах боломжтой үед, эсвэл түүний нэр зөвхөн туннелийн ард байгаа DNS серверээр шийдэгддэг үед, баталгаажуулалт туннель бэлэн болтол хүлээнэ. Visual Studio эхлэхдээ олон тооны гарын үсэгтэй угсралт, өргөтгөлийг ачаалдаг бөгөөд дүрс бүрт бага зэрэг саатал харагдах зогсолт болно. Юу ч гэмтээгүй, бодлого яг тохируулсан шигээ ажилладаг тул бодлогыг авах нь асуудлыг шийдсэн мэт харагдана.

Гарын үсэгтэй дүрс бүр сүлжээний дуудлага үүсгэж болно

Диск дээр аль хэдийн байгаа гарын үсэгтэй хоёртын файлаас эхэлж, эхлэл ашигладагтай ижил татах зан төлөвөөр платформд шалгуул. Командыг нэг удаа туннель дээр, нэг удаа түүний гадна ажиллуулаад, эцсийн дүгнэлтийн оронд татах мөрүүдийг харьцуул.

certutil -verify -urlfetch C:\Tools\Contoso.Editor.dll
nslookup ocsp.contoso.example
Test-NetConnection ocsp.contoso.example -Port 80

Гаралт нь гинж, CRL болон OCSP хаяг, татах бүр амжилттай болсон эсэхийг жагсаана. Туннель дээр хугацаа дуусаж, гадна хариулдаг хариулагч нь танд хэрэгтэй нотолгоо бөгөөд удааны сэтгэгдлээс хамаагүй илүү жинтэй. Татах нь удаан амжилттай болбол дараагийн алхам тэр хостыг шууд шалгахын тулд хаягийг тэмдэглэ.

Хариулагчийн хостын нэрийг шийдэж, програмаас гадна хүртээмжийг шалга, учир нь шийдэгддэггүй нэрийг ямар ч клиентийн тохиргоо хэзээ ч засахгүй. CodeIntegrity-ийн үйл ажиллагааны бүртгэл нотолгооны нөгөө хагасыг өгч, баталгаажуулалтын үйл явдлыг удаан эхлэлтийн цагийн тэмдэгтэй холбодог.

Хяналтыг авахгүйгээр саатлыг багасга

Бодлогыг идэвхгүй болгох эсвэл аудитын горимд шилжүүлэх нь саатлыг арилгаж, байгууллагын байрлуулсан хяналтыг авч хаядаг тул үүнийг буруу засвар гэж үз. Илүү нарийн сонголтууд нь хариулагч туннелээр хүртээмжтэй болох маршрутын өөрчлөлт, хариулагчийн хостод зориулсан хуваагдсан туннелийн үл хамаарах зүйл, нэр хүрэхгүй хаяг руу шийдэгдэх үед DNS засвар, эсвэл хүчингүй болгох өгөгдөлд зориулсан дэмжигдсэн кэш прокси юм. Тус бүр өөр эзэнтэй: PKI баг хариулагчийн хүртээмжийг, сүлжээний баг туннелийн хуваалтыг, төгсгөлийн цэгийн баг бодлогыг эзэмшдэг.

Хүчингүй болгох хост бүрийг туннелээс хасах нь автоматаар аюулгүй биш, учир нь дотоод хариулагч санаатайгаар дотоод байж болно. Гэрчилгээний шалгалтыг чимээгүйгээр нийтийн интернет рүү илгээдэг дүрэм бичихээс өмнө PKI-г удирддаг багтай үл хамаарах зүйлийг батал. Тэр баталгаажуулалтгүйгээр хийсэн өөрчлөлт нь дараагийн бодлогын шинэчлэлтэд буцаагддаг төрлийн өөрчлөлт юм.

Өөрчлөлтийн дараа хүйтэн эхлэлтийг шалга

Хоёр төлөвт хүйтэн эхлэлтийг хэмжиж, тоонуудыг хадгал, учир нь угсралтууд кэшэд орсны дараа халуун эхлэлт бараг юу ч нотлохгүй. Шинэ сессээс эхлэлтийг давтаж, өргөтгөлүүдийн ачаалах зам дахин ажиллах болтугай.

Get-WinEvent -LogName Microsoft-Windows-CodeIntegrity/Operational -MaxEvents 40 |
  Where-Object { $_.TimeCreated -gt (Get-Date).AddMinutes(-10) }
Get-ChildItem C:\Windows\System32\CodeIntegrity\CiPolicies\Active
Get-CimInstance -ClassName Win32_DeviceGuard -Namespace root\Microsoft\Windows\DeviceGuard

Засварласан тохиргоо хариулагчтайгаа холбогдсоор байгаа эсвэл танай PKI багийн зөвшөөрсөн кэш замыг ашиглаж байгаа бөгөөд бүртгэл баталгаажуулалт хугацаа дуусахын оронд дуусч байгааг харуулна. Саяхан гарын үсэг зурсан програмын эхлэлт хэвээр байгааг батал, учир нь бүгдийг зөвшөөрдөг бодлого амжилттай засвар биш. Идэвхтэй бодлогын хавтас, хэрэгжилтийн төлөвийг ч шалга, ингэснээр та дибаг хийж буй бодлого нь ажиллаж буй бодлого гэдэг нь тодорхой болно. Гэрчилгээний гинж, хариулагчийн хаяг, эхлэлтийн цагийн тэмдгүүдийг нэг тасалбарт хадгал, учир нь шинэчлэлт ихэвчлэн хариулагчийг зөөж, үл хамаарах зүйл эсвэл DNS дүрмийг хуучирч үлдээдэг.