Dostęp VPN klientów: daj pracy uprzywilejowanej własne urządzenie

Profil połączenia mówi Produkcja, tunel się podnosi, a każde okno na pulpicie może teraz sięgnąć systemów klienta. Nic w tej sekwencji nie oddzieliło sesji uprzywilejowanej od sąsiedniej karty przeglądarki. Profil VPN to nazwa plus zestaw tras; granica, na której naprawdę ci zależy, powstaje z tożsamości urządzenia, kontrolowanego środowiska wykonawczego i ścieżki poświadczeń. Te trzy rzeczy są egzekwowane w różnych miejscach, dlatego dodanie jednej i pominięcie pozostałych daje projekt, który wygląda na zgodny, a nie jest.

Nazwa profilu nie jest granicą

Klient stosuje trasy i konfigurację DNS, gdy tunel się podnosi, a wszystko, co potem działa na tej maszynie, dziedziczy jedno i drugie.

Nazwa na liście rozwijanej zmienia to, co rozpoznaje operator, a nie to, na co pozwala system operacyjny.

Tożsamość urządzenia to coś, co brama może sprawdzić

Brama obsługująca certyfikaty urządzeń lub kontrole postury uwierzytelnia zarówno maszynę, jak i osobę. To właśnie ta warstwa może odrzucić połączenie z niezarządzanego laptopa, zanim ktokolwiek wpisze hasło. Daje też coś konkretnego do unieważnienia, gdy urządzenie zginie. Skopiowanie jednego certyfikatu na trzy maszyny usuwa dokładnie tę właściwość, dlatego cykl życia certyfikatu należy do umowy, a nie do wspólnego folderu.

Klient decyduje, których z tych kontroli wymaga jego polityka, a maszyna wirtualna zbudowana przez dostawcę może w ogóle nie spełniać kontroli postury.

Gdzie przecieka granica maszyny wirtualnej

Maszyna wirtualna trzyma narzędzia klienta i stan sieci razem, i to jest naprawdę użyteczne. Zależy jednak od swojego hosta i hiperwizora, a kilka udogodnień przekracza granicę: udostępnione foldery, integracja schowka, agenci poświadczeń i dostęp administracyjny na poziomie hosta. Uprzywilejowany gość na hoście używanym codziennie nie jest niezależnie wiarygodny, bo host może obserwować, co robi gość. Traktuj maszynę wirtualną jako kontrolę ograniczającą ekspozycję, a nie jako odrębną domenę bezpieczeństwa.

Dedykowane urządzenie fizyczne usuwa zależność od hosta i dodaje w zamian obowiązek konserwacji.

Poświadczenia i ścieżki transferu

Używaj indywidualnych, odwoływalnych tożsamości dla każdego inżyniera i każdego klienta, i trzymaj je z dala od osobistych profili przeglądarki i historii czatu. Poświadczeń współdzielonych przez cały zespół nie da się czysto przypisać, rotować ani odwołać. Ustal ścieżkę transferu narzędzi, plików i danych diagnostycznych przed pierwszą sesją, bo doraźne przenoszenie plików to sposób, w jaki granica po cichu przestaje być granicą. Jeśli trzeba dotrzeć do dwóch klientów naraz, najpierw uzyskaj zgodę na rozdzielenie sieci i tożsamości.

Nigdy nie łącz dwóch sieci klientów przez jedną stację roboczą tylko dlatego, że tego popołudnia było to wygodne.

Umowa, która czyni to powtarzalnym

Napisz krótki zapis dla każdego klienta i trzymaj go tam, gdzie obie strony go znajdą. Powinien wymieniać zatwierdzone urządzenie lub środowisko zdalne i osobę, która je utrzymuje, dozwolone tożsamości, systemy i operacje, do których mogą dotrzeć, ścieżkę transferu oraz zwykły sposób zakończenia sesji.

Pięć linijek, które ktoś przegląda, gdy osoba dochodzi lub odchodzi, bije politykę, której nikt nie potrafi zastosować:

• Zatwierdzone urządzenie lub środowisko zdalne z nazwanym właścicielem utrzymania.
• Indywidualne tożsamości użytkownika i urządzenia dopuszczone do wsparcia.
• Systemy i operacje, do których te tożsamości mogą dotrzeć.
• Dozwolona ścieżka dla narzędzi, plików i danych diagnostycznych.
• Proces zakończenia sesji i upoważniona alternatywa awaryjna.

Dostęp awaryjny bez przenoszenia poświadczeń

Gdy kontrola blokuje pilną naprawę, drogą jest proces wyjątku, a nie drugi laptop z tymi samymi poświadczeniami. Zatwierdzony wyjątek zapisuje, kto go upoważnił, co złagodzono i kiedy się kończy. Przenoszenie poświadczenia na maszynę codziennego użytku zmienia granicę w najgorszym możliwym momencie i zwykle zostaje zmienione także potem. Droga awaryjna zasługuje na próbę, dopóki nic nie jest zepsute.

Potem zakończ sesję tak, jak mówi umowa, i potwierdź, że dostęp naprawdę się zatrzymał.