VPN sentiasa aktif: laluan, kebenaran dan sesi secara berasingan

Mengekalkan terowong terbuka sepanjang masa ialah pilihan reka bentuk yang mempunyai versi wajar dan versi cuai. Cawangan yang memerlukan aplikasi pusat sepanjang hari, serta tugas sandaran malam, mempunyai sebab. Komputer riba yang ditinggalkan bersambung tiga hari di dalam bilik hotel ialah kemalangan.

Kedua-duanya memaparkan ikon hijau yang sama, dan kedua-duanya menjawab sama jika ditanya berapa lama terowong dibuka. Nombor itu bukan yang menarik. Yang penting ialah apa yang dijadikan tersedia oleh sambungan, kepada siapa, dan apa yang benar-benar menamatkannya.

Tiga jam yang berjalan berasingan

Keadaan pertama ialah laluan. Terowong dan dasarnya menjadikan satu set perkhidmatan boleh dicapai, dan pautan tanpa trafik boleh kekal sedia untuk permintaan seterusnya. Berapa lama ia kekal sedia ialah keputusan pelaksanaan, bukan pemasa sejagat.

Keadaan kedua ialah kebenaran. Identiti atau peranti yang diterima mungkin diberi kuasa menggunakan laluan itu. Kuasa itu sepatutnya berubah apabila peranan berubah, peranti hilang atau penggodaman disyaki, dan ia bebas daripada sama ada paket mengalir.

Keadaan ketiga ialah sesi aplikasi itu sendiri. Klien pangkalan data, desktop jauh atau aplikasi web mengesahkan diri secara berasingan dan menyimpan keadaan sendiri. Menutup terowong tidak semestinya menamatkan mana-mana daripadanya.

Semakan yang menganggap ketiga-tiganya sebagai satu soalan berakhir dengan perdebatan tentang pemasa melahu. Setiap satu boleh sihat atau rosak sendiri, dan penemuan pada satu hanya sedikit berkata tentang yang lain. Senarai semak tiga baris lebih baik daripada perdebatan tentang satu nilai tunggu. Tulis jawapan untuk setiap keadaan secara berasingan.

Terowong ialah laluan, bukan lencana

Terowong yang terbentuk ialah bukti bahawa wujud laluan terlindung antara dua hujung. Ia bukan bukti bahawa setiap proses di belakang mana-mana hujung mesti mencapai setiap perkhidmatan di sebelah sana.

Panduan kepercayaan sifar NIST mengatakan perkara yang sama dari arah lain: lokasi rangkaian tidak boleh dianggap sebagai kepercayaan tersirat. Pautan tapak ialah fakta pengangkutan, dan kebenaran satu hos menggunakan satu aplikasi ialah keputusan berasingan dengan pemiliknya sendiri.

Rakan yang dikompromi masih boleh mencuba tindakan berbahaya melalui perkhidmatan yang dibenarkan dicapai. Penapisan dan pemantauan mengurangkan risiko tertentu tanpa memadam akibat penggodaman hujung. Reka untuk laluan, dan beri kuasa untuk perkhidmatan.

Mewajarkan pautan tapak kekal

Versi yang boleh dipertahankan bagi sentiasa aktif menamakan tujuannya dengan tepat. Sumber mana, destinasi mana, arah mana, dan siapa pemilik setiap entri. Firewall cawangan yang membenarkan setiap hos cawangan ke setiap subrangkaian pusat tidak mengekalkan pautan untuk tujuan bernama; ia mengekalkannya untuk apa sahaja yang terfikir oleh seseorang kemudian.

Di mana rakan tidak dapat mencapai tahap kepercayaan yang diperlukan, sempitkan sempadan atau ubah susunan. Bergantung pada pemutusan manual sekali-sekala ialah kawalan proses, dan kawalan proses paling tidak boleh dipercayai tepat apabila insiden menjadikannya menyusahkan.

Simpan justifikasi bersama konfigurasi. Pengecualian kekal dengan tujuan bertulis boleh disemak dan ditarik balik. Yang tanpa tujuan menjadi kekal secara lalai.

Menukar kunci bukan pembatalan

Mengganti kunci mengikut jadual mengekalkan kitaran hayat perlindungan. Ia menyegarkan bahan dan mengekalkan kerahsiaan. Tetapi ia tidak menarik balik hak sesuatu hujung.

Jika hujung masih menyimpan kelayakan sah dan dasar akses yang menerimanya, rundingan seterusnya memulihkan laluan yang dibenarkan itu. Itulah sebabnya putaran kunci setiap jam bukan jawapan kepada peranti yang hilang: peranti yang hilang juga berputar selagi identitinya masih dipercayai. Semak hak sebelum jadual. Putaran ialah kebersihan, dan pembatalan ialah keputusan akses.

Pembatalan ialah mekanisme lain dengan kependamannya sendiri: sijil yang dibatalkan, akaun dilumpuhkan, kumpulan diubah, peraturan rangkaian dibuang. Setiap satu berkuat kuasa pada titik berbeza, dan bertindak berbeza terhadap sesi yang sudah terbentuk.

Menamatkan apa yang sudah berjalan

Tanya apa yang dilakukan pelaksanaan terhadap sesi yang sudah terbentuk apabila akses dibuang. Ia boleh menamatkannya, menunggu luput atau menggunakan tingkah laku terdokumen di antaranya. Jangan andaikan perubahan kemasukan esok menutup sambungan aplikasi hari ini.

Untuk akses interaktif, letakkan had sesi dan peraturan melahu di tangan pemilik identiti dan VPN, bukan hanya pasukan rangkaian. Untuk perkhidmatan tapak, tetapkan prosedur yang digunakan oleh penyelenggaraan, gangguan atau insiden keselamatan untuk mematikan akses.

Kemudian uji tiga hasil: kerja yang dibenarkan masih berjalan, perkhidmatan tidak berkaitan ditolak, dan prosedur pembuangan menghasilkan hasil terdokumen. Reka bentuk sentiasa aktif boleh diterima apabila tujuan, kebenaran dan keupayaan mematikannya semuanya ditulis dan dilatih. Jika tidak, ia ialah kemudahan yang mengatasi sebabnya.