VPN mereu activ: separarea căii, a permisiunii și a sesiunii

A ține un tunel deschis nonstop este o decizie de proiectare care are o versiune legitimă și una neglijentă. O sucursală care are nevoie toată ziua de o aplicație centrală, plus un job de backup peste noapte, are un motiv. Un laptop lăsat conectat într-o cameră de hotel trei zile este un accident.

Ambele arată aceeași pictogramă verde și ambele răspund la fel dacă întrebi de cât timp este ridicat tunelul. Acel număr nu este cel interesant. Contează ce menține conexiunea disponibil, pentru cine și ce anume o încheie.

Trei ceasuri care merg separat

Prima stare este calea. Un tunel și politicile lui fac un set de servicii accesibil, iar o legătură fără trafic poate rămâne pregătită pentru următoarea cerere. Cât timp rămâne pregătită este o decizie de implementare, nu un cronometru universal.

A doua stare este permisiunea. O identitate sau un dispozitiv acceptat poate fi autorizat să folosească acea cale. Această autorizare ar trebui să se schimbe când se schimbă un rol, când un dispozitiv dispare sau când se suspectează o compromitere, și este independentă de faptul că pachetele circulă.

A treia stare este sesiunea proprie a aplicației. Un client de bază de date, un desktop la distanță sau o aplicație web se autentifică separat și își păstrează propria stare. Închiderea tunelului nu încheie neapărat vreuna dintre ele.

O analiză care tratează acestea ca o singură întrebare ajunge să dezbată cronometre de inactivitate. Toate trei pot fi sănătoase sau defecte pe cont propriu, iar o constatare la una spune puțin despre celelalte. O listă de verificare cu trei linii bate o dezbatere despre o singură valoare de timeout. Scrie răspunsul pentru fiecare stare separat.

Tunelul este o cale, nu o insignă

Un tunel stabilit este dovada că există o cale protejată între două puncte terminale. Nu este dovada că fiecare proces din spatele oricărui punct terminal ar trebui să ajungă la fiecare serviciu de pe partea cealaltă.

Îndrumarea zero trust a NIST spune același lucru din cealaltă direcție: locația în rețea nu trebuie tratată ca încredere implicită. O legătură de site este un fapt de transport, iar permisiunea ca un host să folosească o aplicație este o decizie separată, cu proprietar propriu.

Un peer compromis poate încă încerca acțiuni dăunătoare prin serviciile la care are voie să ajungă. Filtrarea și monitorizarea reduc riscuri specifice fără a șterge consecințele compromiterii punctului terminal. Proiectează pentru cale și autorizează pentru serviciu.

Justificarea unei legături de site permanente

Versiunea defendabilă a lui mereu activ își numește scopul cu precizie. Care surse, care destinații, ce direcție și cine deține fiecare intrare. Un firewall de sucursală care permite fiecărui host din sucursală accesul la fiecare subrețea centrală nu a păstrat o legătură pentru un scop numit; a păstrat-o pentru orice i se pare cuiva mai târziu.

Acolo unde un peer nu poate atinge nivelul de încredere cerut, îngustează granița sau schimbă aranjamentul. A te baza pe deconectarea manuală ocazională este un control de proces, iar controalele de proces sunt cel mai puțin fiabile exact când un incident le face incomode.

Păstrează justificarea împreună cu configurația. O excepție permanentă cu scop scris poate fi analizată și retrasă. Una fără scop devine permanentă în mod implicit.

Schimbarea cheilor nu este revocare

Înlocuirea cheilor după un program menține ciclul de viață al protecției. Reîmprospătează materialul și păstrează confidențialitatea. Nu elimină dreptul de acces al unui punct terminal.

Dacă punctul terminal mai are acreditări valide și o politică de acces care îl acceptă, următoarea negociere restaurează aceeași cale permisă. De aceea afirmația că cheile se rotesc la fiecare oră nu este un răspuns la un dispozitiv pierdut: dispozitivul pierdut se rotește și el, atât timp cât identitatea lui este de încredere. Verifică dreptul înainte de a verifica programul. Rotația este igienă, iar revocarea este o decizie de acces.

Revocarea este un alt mecanism, cu propria latență: un certificat revocat, un cont dezactivat, un grup modificat, o regulă de rețea eliminată. Fiecare intră în vigoare într-un punct diferit și fiecare se comportă diferit pentru sesiunile deja stabilite.

Încheierea a ceea ce rulează deja

Întreabă ce face implementarea cu sesiunile stabilite când accesul este eliminat. Le poate termina, poate aștepta expirarea sau poate aplica un comportament documentat între acestea. Nu presupune că schimbarea de admitere de mâine va închide conexiunea de aplicație de astăzi.

Pentru accesul interactiv, pune limitele de sesiune și regulile de inactivitate în mâinile proprietarilor de identitate și ai VPN-ului, nu doar ale echipei de rețea. Pentru un serviciu de site, stabilește procedura pe care mentenanța, o întrerupere sau un incident de securitate o folosesc pentru a dezactiva accesul.

Apoi testează trei rezultate: munca permisă încă funcționează, un serviciu nelegat este refuzat, iar procedura de eliminare produce rezultatul documentat. Un proiect mereu activ este acceptabil când scopul, autorizarea și capacitatea de oprire sunt toate scrise și exersate. Altfel este o comoditate care a supraviețuit motivului ei.