Il-verifika tal-qagħda tal-VPN ma timblokkax? L-ewwel iċċekkja r-rapport
L-aġent tal-punt tat-tarf jirrapporta stat tajjeb, imma l-applikazzjoni interna xorta tinfetaħ. Għaddi mill-ġġieħ, mill-verdett u mill-blokk, imbagħad ipprova ċ-ċaħda b'talba waħda.
Jekk laptop li l-firem tal-antivirus tiegħu waqfu jaġġornaw ġimgħat ilu xorta jista' jiftaħ l-applikazzjoni interna tiegħek, id-dokument tal-politika rari jkun il-ħaġa li hi ħażina. Tliet sistemi separati jridu jaqblu qabel ma l-aċċess jiġi miċħud: xi ħaġa tkejjel il-punt tat-tarf, xi ħaġa tibdel dik il-kejl fi verdett li tippermetti jew tiċħad, u xi ħaġa fil-fatt tarmi t-traffiku. Meta apparat mhux konformi xorta jidħol, eżattament wieħed minn dawk il-ħoloq jonqos jew jafda evidenza li ma kellux. Il-verifiki hawn taħt jimxu f'dik l-ordni, u kull wieħed għandu punt ta' waqfien.
Il-blokk huwa l-aħħar pass, mhux l-ewwel
L-awtentikazzjoni u l-qagħda jwieġbu mistoqsijiet differenti. Dħul b'suċċess jipprova li ġiet preżentata kredenzjali; ma jgħid xejn dwar is-software li qed jaħdem fuq il-magna li ppreżentatha. Dan id-distakk huwa r-raġuni għaliex profil tal-klijent ikkupjat jista' jġorr sessjoni li tidher sana fuq ospitanti mhux sana.
Ix-xogħol tal-konformità tal-punti tat-tarf diġà għandu vokabularju għal din il-katina. Il-mudell ta' referenza NEA fl-RFC 5209 jaqsam ix-xogħol fi ġġieħ, pass ta' valutazzjoni u punt ta' infurzar, u jgħid b'mod ċar li klijent li jigdeb dwar il-qagħda tiegħu stess jinsab barra mill-mudell. Dan il-kaveat huwa aktar importanti mid-dijagramma: modulu tal-pjattaforma fdat ma jbiddilx kejl irrappurtat minnu stess fi fatti.
Żomm il-ġġieħ onest dwar l-ambitu. Għandu jirrapporta l-attributi li ssejjaħ il-politika tiegħek, fuq l-apparat li jitlob l-aċċess, u ftit aktar. Aġent tal-inventarju li jelenka kull pakkett installat huwa għodda differenti minn ġġieħ tal-qagħda, u d-differenza hija kemm problema ta' żamma kif ukoll problema ta' preċiżjoni. Jekk ir-rapport ma jistax jiġi marbut ma' identità waħda tal-apparat, il-valutatur qed jissoponi liema magna għadda biss.
Dashboard li juri stat aħmar mhux kontroll. Staqsi x'jista' għadu jilħaq utent miċħud: il-wiki, il-kondiviżjoni tal-fajls, il-port tad-database? Ir-rimedju jrid wiċċ wieħed dejjaq, u kull ħaġa oħra tappartjeni wara l-blokk.
Aqra r-rapport qabel ma taqra r-regola
Ibda mis-sors u mhux mit-tikka ħadra tal-klijent. Fuq Windows il-kejl lokali jiġi mid-Defender jew mill-prodott li rreġistra ruħu mas-Security Center, u t-tnejn jinqraw mingħajr console tal-fornitur:
Get-MpComputerStatus | Select-Object AMServiceEnabled, RealTimeProtectionEnabled, AntivirusSignatureLastUpdated
Get-CimInstance -Namespace root/SecurityCenter2 -ClassName AntiVirusProduct | Select-Object displayName, productStateIt-tieni kmand jirritorna numru sħiħ bl-isem productState. Il-bits tiegħu huma dokumentati b'mod laxk u l-fornituri jiġġeneraw il-bnadar tal-attivazzjoni u l-aġġornament b'modi differenti, għalhekk ikkonfermah minflok tanalizzah. Is-suiti ta' partijiet terzi wkoll iħallu l-entratura tas-Security Center wara d-diżinstallazzjoni, u dik tirrapporta software li m'għadux fuq id-diska.
L-età hija l-qasam li n-nies jaqbeż. Timbra tal-ħin tal-firma tfisser xi ħaġa biss meta mqabbla mal-arloġġ tal-magna li tagħmel il-valutazzjoni, għalhekk ibdilha f'intervall minflok ma tistimaha bl-għajn:
$sig = (Get-MpComputerStatus).AntivirusSignatureLastUpdated
[int](New-TimeSpan -Start $sig -End (Get-Date)).TotalHoursIssa l-politika għandha numru wieħed x'taqra. Jekk ir-regola tiegħek tgħid 72 siegħa, dak hu n-numru li tuża, u laptop li jorqod ġimgħa jonqos mingħajr ma ħadd jinterpreta tikketta. Innota l-limitu ħdejn il-kmand, għax it-tnejn jisseparaw meta l-għodda tal-punt tat-tarf tiġi sostitwita.
Ibdel kull stat tal-apparat fi verdett miktub
Il-biċċa l-kbira tat-tilwim dwar il-qagħda huwa fil-fatt tilwim dwar ir-ringiela mhux magħrufa. Iddeċidiha qabel l-ewwel inċident, f'tabella li ssemmi l-evidenza, il-verdett u s-sid, sabiex ħadd ma jimprovizza fil-console tal-gateway.
| Evidence the assessor has | Verdict | What it protects against |
|---|---|---|
| Timestamp inside the policy window, protective service running | Admit to normal applications | Nothing yet; the other checks still apply |
| Timestamp older than the window | Deny, admit remediation page only | Signature rollback and dormant laptops |
| Service disabled or reporting off | Deny, escalate to the endpoint owner | An agent reporting stale success |
| No report at all for this session | Treat as deny, never as healthy | Agents that fail open under load |
Ir-ringiela t'isfel hija fejn il-prodotti jvarjaw. Xi gateways jiċħdu l-konnessjoni u jispjegaw għaliex; oħrajn iħallu t-tunnel jogħla u japplikaw politika ristretta; ftit jerġgħu lura għall-aħħar rapport tajjeb magħruf. L-ewwel tnejn biss huma difendibbli, u jiswa l-piż li tittestja liema jagħmel tiegħek.
Żomm l-identità u l-permess fil-korsiji tagħhom ukoll. Laptop li jgħaddi minn kull test tal-qagħda xorta jeħtieġ l-awtorizzazzjoni umana korretta għall-applikazzjoni, u ċertifikat tal-apparat jipprova pussess ta' ċavetta, mhux l-istat tas-sistema tal-fajls. L-għaqda tat-tlieta f'boolean wieħed hija l-mod kif kont tal-helpdesk jispiċċa b'aċċess permanenti għall-produzzjoni.
Ivverifika l-passaġġ tal-infurzar b'talba, mhux b'dashboard
L-infurzar huwa propjetà ta' talba, għalhekk kejlu b'waħda. Qiegħed magna mhux konformi fuq it-tunnel u agħmel is-sejħa li jagħmel utent veru:
curl -sS -o /dev/null -w '%{http_code}
' --max-time 5 https://app.internal.example/healthTweġiba 200 minn apparat li għandu jiġi mblukkat tfisser li d-deċiżjoni qatt ma waslet għall-passaġġ tad-data. Żewġ raġunijiet tas-soltu: il-politika hija mehmuża ma' grupp li l-kont tat-test qatt ma ngħaqad miegħu, jew l-applikazzjoni hija aċċessibbli minn rotta li l-VPN ma jippossjedix.
L-ewwel iċċekkja l-assunzjoni tar-routing. Jekk l-isem intern jiġi riżolt għal indirizz li l-klijent diġà jilħaq permezz tal-LAN lokali, it-tunnel mhuwiex rilevanti u l-ebda politika mhija se tiġi applikata. Qabbel dak l-indirizz mar-rotta li l-gateway jimbotta. Fuq OpenVPN, il-politika għal kull klijent tgħix f'fajls imsakkra bl-isem komuni, għalhekk huwa faċli li tiġi spezzjonata:
ls /etc/openvpn/ccd/
cat /etc/openvpn/ccd/laptop-17Fajl li fih disable jaqta' dak il-klijent għal kollox, filwaqt li linja push "route ..." iddejjaq dak li jista' jilħaq. It-tnejn huma infurzar, u t-tnejn huma viżibbli għal kull min qed jiddebagga r-rapport.
Ittestja l-erba' każijiet fuq kont tat-test wieħed
L-aħħar verifika hija matriċi żgħira, mhux passaġġ ferrieħi. Mexxi kont tat-test wieħed minn erba' stati: attwali, firma skaduta, protezzjoni diżattivata, aġent mhux installat. Għal kull wieħed, innota l-verdett fil-log tal-valutazzjoni, l-istat HTTP li jirritorna l-applikazzjoni, u jekk il-paġna tar-rimedju tgħabbietx.
foreach ($case in 'current', 'stale', 'disabled', 'absent') {
Get-MpComputerStatus | Select-Object AMServiceEnabled, AntivirusSignatureLastUpdated
curl.exe -sS -o NUL -w "%{http_code}
" --max-time 5 https://app.internal.example/health
}Żewġ dettalji huma faċli li jintilfu. L-ewwel ir-riproduzzjoni: rapport maqbud waqt li l-magna kienet sana m'għandux jiġi aċċettat għal sessjoni aktar tard fuq l-istess apparat, għalhekk fittex timbra tal-ħin marbuta mal-konnessjoni attwali. Imbagħad it-tneħħija: id-diżinstallazzjoni tal-aġent għandha tipproduċi l-istess ċaħda bħal rapport skadut, mhux passaġġ nadif, u dan huwa l-każ li l-aktar spiss qatt ma jiġi ttestjat.
Meta l-matriċi taqbel mat-tabella, għaddi tliet affarijiet lil min imexxi l-gateway wara: il-kmandi, il-limitu u l-erba' riżultati mistennija. Dik il-konsenja hija l-prodott veru, għax disinn tal-qagħda li jgħix biss f'dokument tal-politika jiżżerżaq l-ewwel darba li l-għodda tal-punt tat-tarf tibdel il-qasam tar-rappurtar tagħha.