Blokker én enhet fra VPN uten å deaktivere hele kontoen

Én ansatt, to bærbare datamaskiner, og bare én av dem skal miste tilgangen. Å deaktivere kontoen er den åpenbare spaken, men den straffer feil omfang, mens sletting av en lagret profil på endepunktet er et forslag og ikke en kontroll. Beslutningen kommer ned til tre betingelser: om det finnes en enhetsidentitet som VPN-en kan verifisere, om nettopp denne tilkoblingen faktisk vurderer den, og hva du vil skal skje med enheten i stedet for med personen. Svar på dem i den rekkefølgen, og håndhevelsen velger som regel seg selv.

Første betingelse: finnes det enhetsbevis som VPN-en kan verifisere?

En kildeadresse deles bak kontorets NAT og endres på mobilnett. Et vertsnavn er hva enheten påstår, en MAC-adresse forfalskes trivielt, og en registerverdi kan skrives av alt med lokale rettigheter. Ingen av disse er en identitet før noe verifiserer den. En separat registrert enhetslegitimasjon, som et sertifikat utstedt til det endepunktet, er det eneste alternativet som gir tilbakekalling et mål som er smalere enn brukerkontoen.

Legitimasjonen teller bare hvis tilkoblingen autentiserer med den og validerer kjeden ved hvert forsøk. En fil som ligger i maskinens lager, beviser ingenting.

Andre betingelse: vurderer denne tilkoblingen den?

Endepunktattributter er ikke universelle. På en ASA skiller Ciscos ASDM DAP-veiledning bruker-AAA-informasjon fra endepunktvurderingsattributter, og hvilke attributter som er tilgjengelige avhenger av fjernaksessprotokollen som brukes, posture-verktøyene som er installert og lisensen. En registerkontroll trenger den støttede innsamlingsveien, og selv da rapporterer den hva endepunktverktøyet så, ikke at maskinen er den du stoler på.

Så det praktiske spørsmålet er smalt: på denne tunnelen, med denne klienten og denne posture-agenten, hvilket attributt ankommer fylt ut og pålitelig? Hvis svaret er ingen, vil en policy skrevet mot det matche ingenting eller alt, og begge utfallene er verre enn kontolåsen du unngikk.

Tredje betingelse: avvisning, utbedring eller smalere tilgang?

Tre utfall er tilgjengelige, og de er ikke utskiftbare. Du kan avslutte økten, som fjerner tilgangen helt; du kan sette enheten i karantene i en tilstand der den bare når utbedringsressurser; eller du kan la økten stå og skjære ressurs-ACL-en ned til de få tingene enheten fortsatt trenger. DAP-økt handlinger og ressurs-ACL-er svarer på forskjellige spørsmål, så valget handler om hvor mye følgeskade personen skal absorbere.

For en tapt eller stjålet bærbar datamaskin er svaret vanligvis avslutning. For en maskin som strøk på en posture-kontroll, er utbedring vennligere og like effektivt.

Bestem hva som skjer når bevisene mangler

Standardveien betyr mer enn regelen du skrev for det gode tilfellet. Hvis det forventede attributtet aldri ankommer fordi posture-agenten er ødelagt, kan en policy som krever det falle gjennom til en standard som slipper økten inn. Les standardresultatet og test tilfellet uten bevis bevisst, for det er tilstanden en angriper som fjerner agenten vil presentere.

Flere samsvarende DAP-poster aggregeres i stedet for å avgjøres av enkel første-treff-rekkefølge, og deres ACL-prioritet er en separat mekanisme fra postvalget. Les veiledningens beskrivelse av aggregering før du antar at den strengeste posten vinner.

Håndter økter som allerede finnes, og test deretter begge enhetene

Å endre en opptaksregel eller tilbakekalle en legitimasjon beskriver ikke hva som skjer med en økt som allerede er etablert og fører trafikk. Hvis umiddelbar fjerning er kravet, følg implementeringens støttede prosedyre for øktavslutning og revurdering i stedet for å vente på neste gjentilkobling. Dette er trinnet som oftest hoppes over under en hendelse, og det er forskjellen mellom en policy og et utfall.

Test med den samme tillatte brukeren på begge maskinene under en godkjent kontroll. Den blokkerte enheten skal motta nøyaktig den tiltenkte avvisningen eller utbedringen, og den andre skal bare beholde sine autoriserte ressurser. Det verifiserer enhetsgrensen uten å tilbakekalle personens andre godkjente tilgang.

Hvis du ikke kan gjøre de to resultatene forskjellige, er problemet bevisene, ikke policyen, og ingen regeltilpasning vil rette det.