Ibblokka apparat wieħed mill-VPN mingħajr ma tiddiżattiva l-kont kollu

Impjegat wieħed, żewġ laptops, u wieħed biss minnhom għandu jitlef l-aċċess. Li tiddiżattiva l-kont hija l-lieva ovvja iżda tikkastiga l-ambitu żbaljat, filwaqt li tħassar profil salvat fuq l-endpoint hija suġġeriment u mhux kontroll. Id-deċiżjoni tinżel għal tliet kundizzjonijiet: jekk teżistix identità tal-apparat li l-VPN tista tivverifika, jekk din il-konnessjoni partikolari tivvalutahiex tassew, u xbeħsiebek jiġri mill-apparat minflok mill-persuna. Wieġeb f'dan l-ordni u l-infurzar normalment jagħżel lilu nnifsu.

L-ewwel kundizzjoni: hemm evidenza tal-apparat li l-VPN tista tivverifika?

Indirizz tas-sors huwa maqsum wara n-NAT tal-uffiċċju u jinbidel fuq netwerks mobbli. L-isem tal-host huwa dak li jistqarr l-apparat, indirizz MAC huwa faċli li jiġi falsifikat, u valur fir-reġistru jista jinkiteb minn kwalunkwe ħaġa li għandha drittijiet lokali. Xejn minn dawn mhuwa identità sakemm xi ħaġa tivverifikah. Kredenzjali tal-apparat irreġistrata separatament, bċertifikat maħruġ għal dak l-endpoint, hija l-unika għażla li tagħti lir-revoka mira idjaq mill-kont tal-utent.

Il-kredenzjali tgħodd biss jekk il-konnessjoni tawtentikah biha u tivvalida l-katina f'kull tentattiv. Fajl li jinsab fil-maħżen tal-magna ma jipprova xejn.

It-tieni kundizzjoni: din il-konnessjoni tivvalutah?

L-attributi tal-endpoint mhumiex universali. Fuq ASA, il-gwida ASDM DAP ta Cisco tissepara l-informazzjoni AAA tal-utent mill-attributi tal-valutazzjoni tal-endpoint, u liema attributi huma disponibbli jiddependi mill-protokoll tal-aċċess mill-bogħod li jintuża, mill-għodda tal-posture li tkun ġiet installata u mill-liċenzja. Iċ-ċekk tar-reġistru jeħtieġ it-triq tal-ġbir appoġġata, u anke hekk jirrapporta dak li ra l-għodda tal-endpoint, mhux li l-magna hija dik li tafda fiha.

Allura l-mistoqsija prattika hija dejqa: fuq dan it-tunnel, b'dan il-klijent u dan l-aġent tal-posture, liema attribut jasal mimli u affidabbli? Jekk it-tweġiba hija ħadd, politika miktuba kontrih taqbel ma xejn jew taqbel ma kollox, u ż-żewġ riżultati huma agħar mill-isserrar tal-kont li kont qed tevita.

It-tielet kundizzjoni: rifjut, rimedju, jew aċċess idjaq?

Tliet riżultati huma disponibbli u mhumiex interkambjabbli. Tista ttemm is-sessjoni, li tneħħi l-aċċess għal kollox; tista tqiegħed l-apparat f'kwarantina fi stat fejn jasal biss għar-riżorsi tar-rimedju; jew tista tħalli s-sessjoni u taqta l-ACL tar-riżorsi tagħha għall-ftit affarijiet li dak l-apparat għadu jeħtieġ. L-azzjonijiet tas-sessjoni DAP u l-ACLs tar-riżorsi jwieġbu mistoqsijiet differenti, għalhekk l-għażla hija dwar kemm ħsara kollaterali l-persuna għandha tassorbi.

Għal laptop mitluf jew misruq it-tweġiba normalment hija t-tmiem. Għal magna li falliet fiċ-ċekk tal-posture, ir-rimedju huwa aktar ħanin u daqstant effettiv.

Iddeċiedi xjiġri meta l-evidenza tkun nieqsa

It-triq prestabbilita timporta aktar mir-regola li kitbt għall-każ tajjeb. Jekk l-attribut mistenni qatt ma jasal għax l-aġent tal-posture huwa miksi, politika li tirrikjedih tista taqa għal prestabbilit li jdaħħal is-sessjoni. Aqra r-riżultat prestabbilit u ittestja deliberatament il-każ mingħajr evidenza, għax dak huwa l-istat li se jippreżenta attakkant li jneħħi l-aġent.

Diversi rekords DAP li jaqblu jiġu aggregati minflok ma jiġu riżolti b'ordni sempliċi tal-ewwel qbil, u l-prijorità ACL tagħhom hija mekkaniżmu separat mill-għażla tar-rekord. Aqra d-deskrizzjoni tal-aggregazzjoni fil-gwida qabel ma tassumi li jirbaħ ir-rekord l-aktar strett.

Ittratta sessjonijiet li diġà jeżistu, imbagħad ittestja ż-żewġ apparati

Li tbiddel regola tad-dħul jew tirrevoka kredenzjali ma jiddeskrivix xjiġri minn sessjoni li diġà hija stabbilita u li tgħaddi traffiku. Jekk it-tneħħija immedjata hija l-ħtieġa, segwi l-proċedura ta' tmiem u evalwazzjoni mill-ġdid tas-sessjoni appoġġata mill-implimentazzjoni minflok ma tistenna l-konnessjoni mill-ġdid li jmiss. Dan huwa l-pass li jiġi skart l-aktar spiss waqt inċident, u huwa d-differenza bejn politika u riżultat.

Ittestja bl-istess utent permess fuq iż-żewġ magni taħt ċekk approvat. L-apparat imblukkat għandu jirċievi eżattament ir-rifjut jew ir-riżultat tar-rimedju mahsub, u l-ieħor għandu jżomm biss ir-riżorsi awtorizzati tiegħu. Dan jivverifika l-konfini tal-apparat mingħajr ma jirrevoka l-aċċess approvat l-ieħor tal-persuna.

Jekk ma tistax tagħmel dawn iż-żewġ riżultati differenti, il-problema hija l-evidenza, mhux il-politika, u l-ebda aġġustament tar-regoli ma se jsewwiha.