Zaproponuj urządzenie dostępu zdalnego, które właściciel sieci może zatwierdzić

Urządzenie dostępu zdalnego zmienia granicę sieci klienta, nawet gdy łączy się na zewnątrz i nie potrzebuje żadnego przychodzącego przekierowania portów. To kierunek na zewnątrz czyni je łatwym do zainstalowania i łatwym do przeoczenia. Przedstaw je jako wniosek o projekt dostępu, zanim trafi do sieci. Przedstawianie go jako czegoś, czego nie trzeba było wspominać, to sposób, w jaki sukces techniczny staje się problemem umownym.

Załóż, że właściciel sieci zada cztery pytania: co, kto, jak daleko i jak to cofniemy.

Proś o zasób, nie o podsieć

Opisz pracę terminami, których używa właściciel: która osoba potrzebuje której usługi, na którym urządzeniu i jak długo. Wniosek ograniczony do jednej aplikacji na jednym hoście jest łatwy do zatwierdzenia. Wniosek o podsieć to wniosek o przeorganizowanie czyjejś segmentacji.

Klient może już prowadzić zatwierdzony VPN, bramę pulpitu zdalnego lub zarządzany kanał wsparcia, który zaspokaja potrzebę. Sprawdź to najpierw, ponieważ ponowne użycie istniejącej ścieżki jest zwykle najtańszą odpowiedzią dla obu stron. Jeśli to nie pasuje, powiedz dokładnie dlaczego. To porównanie jest najmocniejszą częścią propozycji.

Jeśli urządzenie jest naprawdę konieczne, przynieś jego właściciela, źródło oprogramowania, proces aktualizacji i planowany punkt instalacji.

Pokaż połączenie i gdzie kończy się zaufanie

Narysuj urządzenie, użytkownika zdalnego, ewentualnego pośrednika lub przekaźnik oraz chroniony zasób. Zaznacz, gdzie kończy się szyfrowanie i kto administruje każdym punktem końcowym. Sesja wychodząca nadal wprowadza nową ścieżkę sterowania, i to na diagramie staje się to widoczne. Powiedzenie, że ruch jest szyfrowany, odpowiada na pytanie o poufność i na żadne pytanie o autoryzację.

Wskaż tryb wprost: przekazywanie pakietów, proxy aplikacji lub wystawiony pulpit. Każdy ma inne konsekwencje dla routingu i bezpieczeństwa hosta, i każdy zawodzi inaczej, gdy urządzenie zostanie przejęte.

Trzymaj niepowiązane sieci klienta i własny interfejs administracyjny urządzenia poza zatwierdzonym zakresem.

Oddziel tożsamość użytkownika od tożsamości urządzenia

Rejestracja użytkowników, tożsamość urządzenia, uwierzytelnianie wieloskładnikowe i logowanie do aplikacji to cztery różne mechanizmy kontroli, a propozycja powinna nazwać każdy z nich. Współdzielone poświadczenia są zwykłym skrótem i pozostawiają właściciela bez możliwości odebrania dostępu jednej osobie bez zakłócania wszystkim. Logowanie powinno pozostać przy aplikacji. Urządzenie uwierzytelnia połączenie; usługa decyduje, co to połączenie może zrobić.

Architektura zerowego zaufania NIST jest tu przydatna, ponieważ traktuje dostęp do zasobów jako wyraźną decyzję, a nie jako konsekwencję położenia w sieci.

Uzgodnij odzyskiwanie i usunięcie przed instalacją

Właściciel powinien móc szybko wyłączyć dostęp za pomocą mechanizmu, którym sam zarządza, a nie za pomocą telefonu do ciebie. Zapisz odwołanie poświadczeń, usunięcie urządzenia, odpowiedzialność za aktualizacje oraz datę wygaśnięcia lub przeglądu. Zachowaj lokalną ścieżkę odzyskiwania, która nie zależy od nowego kanału zdalnego. Urządzenie, którego nikt nie może usunąć bez dostawcy, jest trwałą zależnością przebraną za wygodę.

Prowadź rejestry proporcjonalnie: zatwierdzone tożsamości, zakres dostępu, istotne zmiany i odpowiednie awarie.

Zbieranie niepowiązanej historii przeglądania w celu wykazania, że urządzenie istnieje, nie jest dowodem dobrego działania i tworzy zobowiązanie, o które właściciel nigdy nie prosił.

Jak wygląda udane zatwierdzenie

Zaakceptuj projekt razem z właścicielem z jedną dozwoloną usługą i jednym zasobem, który musi pozostać odmówiony. Ta druga połowa to część, którą ludzie pomijają, i jedyna część, która dowodzi, że granica przebiega tam, gdzie mówi diagram. Przetestuj odwołanie w ten sam sposób, zanim urządzenie zacznie przenosić prawdziwą pracę. Jeśli zatwierdzenie zostanie wstrzymane, użyj zatwierdzonej alternatywy klienta lub wykonaj pracę lokalnie.

Działające połączenie nie jest pozwoleniem na utworzenie ścieżki dostępu.

Zapisz zatwierdzenie z jego zakresem i terminem ważności, i przekaż kopię właścicielowi. Następna osoba, która dotknie tej sieci, przeczyta rejestr, a nie twoje wspomnienie rozmowy.