Sekat satu peranti daripada VPN tanpa menyahdayakan seluruh akaun

Seorang pekerja, dua komputer riba, dan hanya satu daripadanya perlu kehilangan akses. Menyahdayakan akaun ialah tuas yang jelas tetapi ia menghukum skop yang salah, manakala memadam profil tersimpan pada titik akhir ialah cadangan, bukan kawalan. Keputusan terletak pada tiga syarat: sama ada identiti peranti wujud yang boleh disahkan oleh VPN, sama ada sambungan tertentu ini benar-benar menilainya, dan apa yang anda mahu berlaku kepada peranti itu dan bukan kepada orangnya. Jawab dalam susunan itu dan penguatkuasaan biasanya memilih sendiri.

Syarat pertama: adakah terdapat bukti peranti yang boleh disahkan oleh VPN?

Alamat sumber dikongsi di belakang NAT pejabat dan berubah pada rangkaian mudah alih. Nama hos ialah apa yang didakwa oleh peranti, alamat MAC mudah dipalsukan, dan nilai registri boleh ditulis oleh apa-apa yang mempunyai hak setempat. Tiada satu pun daripadanya ialah identiti sehingga sesuatu mengesahkannya. Kredensial peranti yang didaftarkan secara berasingan, seperti sijil yang dikeluarkan untuk titik akhir itu, ialah satu-satunya pilihan yang memberi pembatalan sasaran lebih sempit daripada akaun pengguna.

Kredensial hanya dikira jika sambungan mengesahkan dirinya dengannya dan mengesahkan rantaian pada setiap percubaan. Fail yang terletak dalam storan mesin tidak membuktikan apa-apa.

Syarat kedua: adakah sambungan ini menilainya?

Atribut titik akhir tidak universal. Pada ASA, panduan ASDM DAP Cisco memisahkan maklumat AAA pengguna daripada atribut penilaian titik akhir, dan atribut mana yang tersedia bergantung pada protokol akses jauh yang digunakan, alat posture yang digunakan dan lesen. Semakan registri memerlukan laluan pengumpulan yang disokong, dan walaupun begitu ia melaporkan apa yang dilihat oleh alat titik akhir, bukan bahawa mesin itu ialah mesin yang anda percayai.

Jadi soalan praktikalnya sempit: pada terowong ini, dengan klien ini dan agen posture ini, atribut mana yang tiba terisi dan boleh dipercayai? Jika jawapannya tiada, dasar yang ditulis terhadapnya akan sepadan dengan tiada atau sepadan dengan segala-galanya, dan kedua-dua hasil itu lebih buruk daripada kunci akaun yang anda elakkan.

Syarat ketiga: penolakan, pemulihan atau akses lebih sempit?

Tiga hasil tersedia dan ia tidak boleh ditukar ganti. Anda boleh menamatkan sesi, yang membuang akses sepenuhnya; anda boleh mengkuarantin peranti ke keadaan yang hanya boleh mencapai sumber pemulihan; atau anda boleh membiarkan sesi dan memotong ACL sumbernya kepada beberapa perkara yang masih diperlukan oleh peranti itu. Tindakan sesi DAP dan ACL sumber menjawab soalan yang berbeza, jadi pilihan itu tentang berapa banyak kerosakan sampingan yang perlu ditanggung oleh orang itu.

Untuk komputer riba yang hilang atau dicuri, jawapannya biasanya penamatan. Untuk mesin yang gagal semakan posture, pemulihan lebih lembut dan sama berkesan.

Tentukan apa yang berlaku apabila bukti tiada

Laluan lalai lebih penting daripada peraturan yang anda tulis untuk kes yang baik. Jika atribut yang dijangka tidak pernah tiba kerana agen posture rosak, dasar yang memerlukannya mungkin jatuh kepada lalai yang menerima sesi. Baca hasil lalai dan uji kes tanpa bukti secara sengaja, kerana itulah keadaan yang akan ditunjukkan oleh penyerang yang membuang agen.

Beberapa rekod DAP yang sepadan diagregat dan bukan diselesaikan dengan susunan padanan pertama yang mudah, dan keutamaan ACL mereka ialah mekanisme berasingan daripada pemilihan rekod. Baca penerangan agregasi dalam panduan sebelum menganggap rekod yang lebih ketat menang.

Kendalikan sesi yang sudah wujud, kemudian uji kedua-dua peranti

Menukar peraturan kemasukan atau membatalkan kredensial tidak menerangkan apa yang berlaku kepada sesi yang sudah terbentuk dan melepasi trafik. Jika pembuangan segera menjadi keperluan, ikut prosedur penamatan dan penilaian semula sesi yang disokong oleh pelaksanaan dan bukannya menunggu penyambungan semula seterusnya. Inilah langkah yang paling kerap dilangkau semasa insiden, dan inilah perbezaan antara dasar dan hasil.

Uji dengan pengguna yang dibenarkan yang sama pada kedua-dua mesin di bawah semakan yang diluluskan. Peranti yang disekat harus menerima tepat penolakan atau hasil pemulihan yang dimaksudkan, dan yang satu lagi harus mengekalkan hanya sumber yang dibenarkannya. Itu mengesahkan sempadan peranti tanpa membatalkan akses lain orang itu yang diluluskan.

Jika anda tidak dapat menjadikan kedua-dua hasil itu berbeza, masalahnya ialah bukti, bukan dasar, dan tiada penalaan peraturan akan membaikinya.