Eén apparaat van de VPN blokkeren zonder het hele account uit te schakelen

Eén medewerker, twee laptops, en slechts één daarvan mag de toegang verliezen. Het account uitschakelen is de voor de hand liggende hefboom, maar straft de verkeerde omvang, terwijl het verwijderen van een opgeslagen profiel op het eindpunt een suggestie is en geen beheersing. De beslissing komt neer op drie voorwaarden: of er een apparaatidentiteit bestaat die de VPN kan verifiëren, of deze specifieke verbinding die daadwerkelijk evalueert, en wat u met het apparaat wilt laten gebeuren in plaats van met de persoon. Beantwoord ze in die volgorde en de handhaving kiest meestal zichzelf.

Eerste voorwaarde: is er apparaatbewijs dat de VPN kan verifiëren?

Een bronadres wordt gedeeld achter de NAT van kantoor en verandert op mobiele netwerken. Een hostnaam is wat het apparaat beweert, een MAC-adres is triviaal te vervalsen, en een registerwaarde kan door alles met lokale rechten worden geschreven. Niets daarvan is een identiteit totdat iets het verifieert. Een apart geregistreerd apparaatbewijs, zoals een certificaat dat voor dat eindpunt is uitgegeven, is de enige optie die intrekking een doel geeft dat smaller is dan het gebruikersaccount.

Het bewijs telt alleen als de verbinding ermee authenticeert en de keten bij elke poging valideert. Een bestand in de opslag van de machine bewijst niets.

Tweede voorwaarde: evalueert deze verbinding het?

Eindpuntattributen zijn niet universeel. Op een ASA scheidt Ciscos ASDM DAP-gids gebruikers-AAA-informatie van eindpuntbeoordelingsattributen, en welke attributen beschikbaar zijn hangt af van het gebruikte remote-accessprotocol, de ingezette posture-tools en de licentie. Een registercontrole vereist het ondersteunde verzamelpad, en zelfs dan rapporteert die wat het eindpunttool zag, niet dat de machine degene is die u vertrouwt.

De praktische vraag is dus smal: op deze tunnel, met deze client en deze posture-agent, welk attribuut komt gevuld en betrouwbaar aan? Als het antwoord geen is, zal een beleid dat ertegen is geschreven niets of alles matchen, en beide uitkomsten zijn slechter dan de accountvergrendeling die u vermeed.

Derde voorwaarde: weigering, herstel of smallere toegang?

Er zijn drie uitkomsten beschikbaar en ze zijn niet uitwisselbaar. U kunt de sessie beëindigen, wat toegang volledig verwijdert; u kunt het apparaat in quarantaine plaatsen in een staat waarin het alleen herstelbronnen bereikt; of u kunt de sessie laten staan en de resource-ACL terugbrengen tot de paar dingen die dat apparaat nog nodig heeft. DAP-sessieacties en resource-ACL's beantwoorden verschillende vragen, dus de keuze gaat over hoeveel bijkomende schade de persoon moet absorberen.

Voor een verloren of gestolen laptop is het antwoord meestal beëindiging. Voor een machine die een posture-controle niet haalde, is herstel vriendelijker en net zo effectief.

Bepaal wat er gebeurt als het bewijs ontbreekt

Het standaardpad is belangrijker dan de regel die u voor het goede geval schreef. Als het verwachte attribuut nooit aankomt omdat de posture-agent stuk is, kan een beleid dat het vereist doorvallen naar een standaard die de sessie toelaat. Lees het standaardresultaat en test het geval zonder bewijs bewust, want dat is de toestand die een aanvaller die de agent verwijdert zal presenteren.

Meerdere overeenkomende DAP-records worden geaggregeerd in plaats van opgelost door eenvoudige eerste-match-ordering, en hun ACL-prioriteit is een apart mechanisme van de recordselectie. Lees de beschrijving van aggregatie in de gids voordat u aanneemt dat het strengere record wint.

Behandel sessies die al bestaan, test daarna beide apparaten

Een toelatingsregel wijzigen of een bewijs intrekken beschrijft niet wat er gebeurt met een sessie die al is opgezet en verkeer doorlaat. Als onmiddellijke verwijdering de eis is, volg de door de implementatie ondersteunde procedure voor sessiebeëindiging en herbeoordeling in plaats van te wachten op de volgende herverbinding. Dit is de stap die tijdens een incident het vaakst wordt overgeslagen, en het is het verschil tussen een beleid en een uitkomst.

Test met dezelfde toegestane gebruiker op beide machines onder een goedgekeurde controle. Het geblokkeerde apparaat moet precies de bedoelde weigering of hersteluitkomst krijgen, en het andere mag alleen zijn geautoriseerde bronnen behouden. Dat verifieert de apparaatgrens zonder de andere goedgekeurde toegang van de persoon in te trekken.

Als u die twee uitkomsten niet verschillend kunt maken, is het probleem het bewijs, niet het beleid, en geen enkele regelafstelling zal het oplossen.