Zablokuj jedno urządzenie w VPN bez wyłączania całego konta

Jeden pracownik, dwa laptopy i tylko jeden z nich musi stracić dostęp. Wyłączenie konta to oczywista dźwignia, ale karze niewłaściwy zakres, podczas gdy usunięcie zapisanego profilu na punkcie końcowym jest sugestią, a nie kontrolą. Decyzja sprowadza się do trzech warunków: czy istnieje tożsamość urządzenia, którą VPN może zweryfikować, czy to konkretne połączenie faktycznie ją ocenia i co ma się stać z urządzeniem, a nie z osobą. Odpowiedz na nie w tej kolejności, a egzekwowanie zwykle wybiera się samo.

Pierwszy warunek: czy istnieją dowody urządzenia, które VPN może zweryfikować?

Adres źródłowy jest współdzielony za NAT biura i zmienia się w sieciach mobilnych. Nazwa hosta jest tym, co deklaruje urządzenie, adres MAC można trywialnie podrobić, a wartość w rejestrze może zapisać wszystko z uprawnieniami lokalnymi. Żaden z nich nie jest tożsamością, dopóki coś jej nie zweryfikuje. Osobno zarejestrowane poświadczenie urządzenia, na przykład certyfikat wydany dla tego punktu końcowego, jest jedyną opcją, która daje odwołaniu cel węższy niż konto użytkownika.

Poświadczenie liczy się tylko wtedy, gdy połączenie uwierzytelnia się nim i weryfikuje łańcuch przy każdej próbie. Plik leżący w magazynie maszyny niczego nie dowodzi.

Drugi warunek: czy to połączenie je ocenia?

Atrybuty punktu końcowego nie są uniwersalne. W przypadku ASA przewodnik ASDM DAP firmy Cisco oddziela informacje AAA użytkownika od atrybutów oceny punktu końcowego, a to, które atrybuty są dostępne, zależy od używanego protokołu dostępu zdalnego, wdrożonych narzędzi posture i licencji. Sprawdzenie rejestru wymaga obsługiwanej ścieżki zbierania, a nawet wtedy raportuje to, co widziało narzędzie punktu końcowego, a nie że maszyna jest tą, której ufasz.

Praktyczne pytanie jest więc wąskie: na tym tunelu, z tym klientem i tym agentem posture, który atrybut przychodzi wypełniony i wiarygodny? Jeśli odpowiedź brzmi żaden, polityka napisana przeciwko niemu będzie pasować do niczego albo do wszystkiego, a oba wyniki są gorsze od blokady konta, której unikałeś.

Trzeci warunek: odrzucenie, naprawa czy węższy dostęp?

Dostępne są trzy wyniki i nie są wymienne. Możesz zakończyć sesję, co całkowicie usuwa dostęp; możesz umieścić urządzenie w kwarantannie w stanie, w którym dociera tylko do zasobów naprawy; albo możesz zostawić sesję i przyciąć jej ACL zasobów do kilku rzeczy, których to urządzenie jeszcze potrzebuje. Działania sesji DAP i ACL zasobów odpowiadają na różne pytania, więc wybór dotyczy tego, ile szkód ubocznych osoba musi znieść.

W przypadku zgubionego lub skradzionego laptopa odpowiedzią jest zwykle zakończenie. W przypadku maszyny, która nie przeszła kontroli posture, naprawa jest łagodniejsza i równie skuteczna.

Zdecyduj, co się dzieje, gdy brakuje dowodów

Ścieżka domyślna liczy się bardziej niż reguła napisana dla dobrego przypadku. Jeśli oczekiwany atrybut nigdy nie nadchodzi, bo agent posture jest zepsuty, polityka, która go wymaga, może spaść do domyślnej, która wpuszcza sesję. Przeczytaj wynik domyślny i świadomie przetestuj przypadek bez dowodów, bo właśnie taki stan przedstawi atakujący, który usunie agenta.

Wiele pasujących rekordów DAP jest agregowanych, a nie rozstrzyganych prostą kolejnością pierwszego dopasowania, a ich priorytet ACL jest odrębnym mechanizmem od wyboru rekordu. Przeczytaj opis agregacji w przewodniku, zanim założysz, że wygrywa bardziej rygorystyczny rekord.

Obsłuż sesje, które już istnieją, a potem przetestuj oba urządzenia

Zmiana reguły wstępu lub odebranie poświadczenia nie opisuje, co dzieje się z sesją już ustanowioną i przepuszczającą ruch. Jeśli wymagane jest natychmiastowe usunięcie, postępuj zgodnie z obsługiwaną przez implementację procedurą zakończenia i ponownej oceny sesji, zamiast czekać na następne ponowne połączenie. To krok najczęściej pomijany podczas incydentu i to różnica między polityką a wynikiem.

Przetestuj z tym samym dozwolonym użytkownikiem na obu maszynach w ramach zatwierdzonej kontroli. Zablokowane urządzenie powinno otrzymać dokładnie zamierzone odrzucenie lub wynik naprawy, a drugie zachować tylko swoje autoryzowane zasoby. Weryfikuje to granicę urządzenia bez odbierania innego zatwierdzonego dostępu osoby.

Jeśli nie potrafisz sprawić, by te dwa wyniki się różniły, problem leży w dowodach, a nie w polityce, i żadne dostrajanie reguł tego nie naprawi.