Trasa VPN nie daje zdalnego logowania na twoim Macu

Dołączenie do służbowej sieci VPN samo w sobie nic nie mówi o tym, czy ktoś może zalogować się na twojego Maca z innego miejsca. Muszą się złożyć trzy odrębne rzeczy: ścieżka sieciowa, która dociera do maszyny, działająca usługa dostępu i zgoda dla konkretnego konta na korzystanie z tej usługi. Tunel zapewnia tylko pierwszą. Wszystko inne na tej stronie dotyczy sprawdzania dwóch pozostałych bez zakładania odpowiedzi.

Zacznij od usługi lub zainstalowanego komponentu, który zapewniłby zdalny dostęp, i przestań wnioskować o tym ze wskaźnika stanu połączenia na pasku menu.

Trzy kontrole, które ludzie zlewają w jedną

Osiągalność odpowiada na pytanie, czy pakiety mogą dotrzeć. Usługa udostępniania odpowiada na pytanie, czy coś nasłuchuje na maszynie. Autoryzacja odpowiada na pytanie, jakie tożsamości akceptuje usługa i czego mogą dotknąć po wejściu. VPN może zmienić pierwszą odpowiedź, nie dotykając pozostałych dwóch, i właśnie dlatego to pytanie wciąż daje złe wnioski w obu kierunkach.

Wskazówki Apple dotyczące Remote Login są dobrym konkretnym przykładem tego podziału, ponieważ znajdują się w określonym miejscu i niosą własne wybory kont. Są pod Ustawieniami systemowymi, Ogólne, Udostępnianie, i opisują dostęp SSH i SFTP z wyborem dozwolonych użytkowników. Pełny dostęp do dysku dla użytkowników zdalnych to znowu osobna opcja, co wzmacnia tezę: włączenie usługi nie jest tym samym co przyznanie każdej możliwości, jaką usługa może zaoferować.

Sprawdź, co jest naprawdę włączone

Przejrzyj panel Udostępnianie i zanotuj każdą włączoną usługę, nie tylko tę, której oczekiwałeś. Remote Login, Udostępnianie ekranu i Udostępnianie plików otwierają każda inną powierzchnię i każda ma własną listę użytkowników. Ustawienie dla SSH nic nie mówi o udostępnianiu ekranu, a obecność funkcji udostępniania w systemie operacyjnym nic nie mówi o tym, czy ktoś z niej korzystał.

Następnie zinwentaryzuj, co jeszcze może dawać dostęp: agent zdalnego wsparcia firmy trzeciej, narzędzie do zarządzania zainstalowane podczas rejestracji albo serwer udostępniania ekranu dołączony do czegoś innego. Te nie pojawiają się w panelu Udostępnianie i to właśnie te komponenty ludzie zapominają podczas audytu laptopa. Zapisz każdego agenta, którego nie potrafisz zidentyfikować, bo nieznany proces z nasłuchującym portem jest ciekawszy niż znany bez niego. Krótka lista nieznanych jest lepsza niż pewny wniosek zbudowany na jedynym panelu, który przypadkiem otworzyłeś.

Zapytaj administratora, co zainstalowała rejestracja

Jeśli rejestracja służbowa obejmowała profil konfiguracji, zgodę administratora lub dodatkowe oprogramowanie, poproś osobę, która tym zarządza, o odpowiedź na trzy rzeczy: jakie komponenty zainstalowano, jakie mają uprawnienia i co pozostaje aktywne po rozłączeniu. Trasa VPN i uprzywilejowany agent punktu końcowego mają bardzo różne możliwości, a zwykle tylko jeden z nich jest widoczny dla użytkownika.

W przypadku dozwolonego układu zdalnego wsparcia zdobądź szczegóły na piśmie: którzy użytkownicy są upoważnieni, jakie operacje są zamierzone, czy pojawia się monit potwierdzenia i jak układ jest usuwany po zakończeniu pracy. Nie przyznawaj dostępu wszystkim użytkownikom ani szerokich uprawnień do dysku tylko po to, by sprawdzić, czy wsparcie może się połączyć, bo ten test trwale poszerza granicę.

Jeśli znajdziesz ślady, których nie oczekiwałeś

Nieznany dziennik połączeń lub włączony przełącznik to trop, a nie dowód aktywności konkretnej osoby. Zachowaj istotne nie-tajne zdarzenia, zanotuj godziny i użyj procesu incydentów organizacji lub platformy, zamiast konfrontować kogoś lub usuwać dowody w nadziei, że samo się rozwiąże.

Na urządzeniu zarządzanym poproś jego właściciela o przejrzenie proponowanych zmian, zanim wyłączysz kontrolę wymaganą przez politykę. Na urządzeniu osobistym przyłączonym do sieci służbowej poproś o jasną granicę rejestracji i wspieraną procedurę odejścia, w tym o to, co jest usuwane, a co zostaje.

Użyteczna odpowiedź nazywa mechanizm i władzę, która za nim stoi. Nigdy nie obiecuje ani nieograniczonego dostępu pracodawcy, ani pełnego bezpieczeństwa dzięki etykiecie tunelu, i nie myli trasy z logowaniem.