Blocați un singur dispozitiv din VPN fără a dezactiva întregul cont

Un angajat, două laptopuri și doar unul dintre ele trebuie să piardă accesul. Dezactivarea contului este pârghia evidentă, dar pedepsește sfera greșită, în timp ce ștergerea unui profil salvat pe punctul final este o sugestie, nu un control. Decizia se reduce la trei condiții: dacă există o identitate a dispozitivului pe care VPN-ul o poate verifica, dacă această conexiune anume o evaluează efectiv și ce doriți să se întâmple cu dispozitivul, nu cu persoana. Răspundeți în această ordine și aplicarea de obicei se alege singură.

Prima condiție: există dovezi ale dispozitivului pe care VPN-ul le poate verifica?

O adresă sursă este partajată în spatele NAT-ului biroului și se schimbă în rețelele mobile. Un nume de gazdă este ceea ce afirmă dispozitivul, o adresă MAC se falsifică trivial, iar o valoare din registru poate fi scrisă de orice are drepturi locale. Niciuna dintre acestea nu este o identitate până când ceva nu o verifică. O acreditare de dispozitiv înregistrată separat, cum ar fi un certificat emis pentru acel punct final, este singura opțiune care dă revocării o țintă mai îngustă decât contul de utilizator.

Acreditarea contează doar dacă conexiunea se autentifică cu ea și validează lanțul la fiecare încercare. Un fișier aflat în depozitul mașinii nu dovedește nimic.

A doua condiție: această conexiune o evaluează?

Atributele punctului final nu sunt universale. Pe un ASA, ghidul ASDM DAP de la Cisco separă informațiile AAA ale utilizatorului de atributele de evaluare a punctului final, iar ce atribute sunt disponibile depinde de protocolul de acces la distanță folosit, de instrumentele posture implementate și de licență. O verificare a registrului are nevoie de calea de colectare acceptată și, chiar și atunci, raportează ce a văzut instrumentul punctului final, nu că mașina este cea în care aveți încredere.

Așadar întrebarea practică este îngustă: pe acest tunel, cu acest client și acest agent de posture, ce atribut ajunge completat și de încredere? Dacă răspunsul este niciunul, o politică scrisă împotriva lui se va potrivi cu nimic sau cu tot, iar ambele rezultate sunt mai rele decât blocarea contului pe care o evitați.

A treia condiție: respingere, remediere sau acces mai îngust?

Există trei rezultate disponibile și nu sunt interschimbabile. Puteți încheia sesiunea, ceea ce elimină complet accesul; puteți pune dispozitivul în carantină într-o stare în care ajunge doar la resurse de remediere; sau puteți lăsa sesiunea activă și reduce ACL-ul de resurse la puținele lucruri de care dispozitivul mai are nevoie. Acțiunile de sesiune DAP și ACL-urile de resurse răspund la întrebări diferite, așa că alegerea privește cât de mult prejudiciu colateral trebuie să suporte persoana.

Pentru un laptop pierdut sau furat răspunsul este de obicei încheierea. Pentru o mașină care a picat o verificare de posture, remedierea este mai blândă și la fel de eficace.

Decideți ce se întâmplă când lipsesc dovezile

Calea implicită contează mai mult decât regula scrisă pentru cazul bun. Dacă atributul așteptat nu sosește niciodată pentru că agentul de posture este stricat, o politică ce îl cere poate cădea într-o valoare implicită care admite sesiunea. Citiți rezultatul implicit și testați deliberat cazul fără dovezi, pentru că aceasta este starea pe care o va prezenta un atacator care elimină agentul.

Mai multe înregistrări DAP potrivite sunt agregate, nu rezolvate printr-o simplă ordine a primei potriviri, iar prioritatea lor ACL este un mecanism separat de selecția înregistrării. Citiți descrierea agregării din ghid înainte de a presupune că înregistrarea mai strictă câștigă.

Gestionați sesiunile care există deja, apoi testați ambele dispozitive

Modificarea unei reguli de admitere sau revocarea unei acreditări nu descrie ce se întâmplă cu o sesiune deja stabilită care transportă trafic. Dacă eliminarea imediată este cerința, urmați procedura de încheiere și reevaluare a sesiunii acceptată de implementare, în loc să așteptați următoarea reconectare. Acesta este pasul cel mai des omis în timpul unui incident și este diferența dintre o politică și un rezultat.

Testați cu același utilizator permis pe ambele mașini sub o verificare aprobată. Dispozitivul blocat trebuie să primească exact respingerea sau rezultatul de remediere dorit, iar celălalt să păstreze doar resursele autorizate. Astfel se verifică granița dispozitivului fără a revoca celălalt acces aprobat al persoanei.

Dacă nu puteți face aceste două rezultate diferite, problema sunt dovezile, nu politica, și nicio ajustare a regulilor nu o va remedia.