Acces VPN pentru clienți: dați muncii privilegiate propriul dispozitiv

Profilul de conectare spune Producție, tunelul se ridică și fiecare fereastră de pe desktop poate ajunge acum la sistemele clientului. Nimic din acea secvență nu a separat sesiunea privilegiată de fila de browser alăturată. Un profil VPN este un nume plus un set de rute; granița de care vă pasă cu adevărat se construiește din identitatea dispozitivului, un mediu de execuție controlat și o cale pentru credențiale. Acestea trei sunt impuse în locuri diferite, de aceea adăugarea uneia și omiterea celorlalte produce un design care pare conform și nu este.

Numele unui profil nu este o graniță

Clientul aplică rutele și configurația DNS când tunelul se ridică, iar tot ce rulează apoi pe acea mașină moștenește ambele.

Un nume dintr-o listă derulantă schimbă ce recunoaște un operator, nu ce permite sistemul de operare.

Identitatea dispozitivului este ce poate verifica poarta

O poartă care acceptă certificate de dispozitiv sau verificări de postură autentifică atât mașina, cât și persoana. Acesta este stratul care poate refuza o conexiune de pe un laptop neadministrat înainte ca cineva să tasteze o parolă. Vă dă și ceva concret de revocat atunci când un dispozitiv se pierde. Copierea unui certificat pe trei mașini elimină exact această proprietate, de aceea ciclul de viață al certificatului aparține acordului, nu unui folder partajat.

Clientul decide care dintre aceste controale sunt cerute de politica sa, iar o mașină virtuală construită de un furnizor poate să nu îndeplinească deloc o verificare de postură.

Unde pierde granița unei mașini virtuale

O mașină virtuală ține la un loc uneltele clientului și starea rețelei, iar asta este cu adevărat util. Însă depinde de gazda ei și de hypervisor, iar câteva comodități trec granița: foldere partajate, integrarea clipboardului, agenți de credențiale și acces administrativ la nivel de gazdă. Un invitat privilegiat pe o gazdă folosită zilnic nu este independent de încredere, pentru că gazda poate observa ce face invitatul. Tratați mașina virtuală ca un control care reduce expunerea, nu ca un domeniu de securitate separat.

Un dispozitiv fizic dedicat elimină dependența de gazdă și adaugă în schimb o obligație de întreținere.

Credențiale și căi de transfer

Folosiți identități individuale și revocabile pentru fiecare inginer și fiecare client, și țineți-le departe de profilurile personale de browser și de istoricul conversațiilor. Credențialele partajate de o întreagă echipă nu pot fi atribuite, rotite sau revocate curat. Stabiliți calea de transfer pentru unelte, fișiere și ieșirea de diagnostic înainte de prima sesiune, pentru că mutarea improvizată a fișierelor este felul în care o graniță încetează încet să mai fie graniță. Dacă trebuie ajunși doi clienți simultan, obțineți mai întâi aprobarea separării rețelei și identității.

Nu faceți niciodată punte între două rețele de clienți printr-o singură stație de lucru doar pentru că era comod în acea după-amiază.

Acordul care face lucrul repetabil

Scrieți o notă scurtă pentru fiecare client și păstrați-o acolo unde ambele părți o pot găsi. Trebuie să numească dispozitivul sau mediul la distanță aprobat și cine îl întreține, identitățile permise, sistemele și operațiile la care pot ajunge, calea de transfer și modul obișnuit în care se termină o sesiune.

Cinci rânduri pe care cineva le verifică atunci când o persoană vine sau pleacă bat o politică pe care nimeni nu o poate aplica:

• Dispozitiv sau mediu la distanță aprobat, cu un proprietar de întreținere numit.
• Identități individuale de utilizator și de dispozitiv permise pentru suport.
• Sisteme și operații la care acele identități pot ajunge.
• Cale permisă pentru unelte, fișiere și ieșire de diagnostic.
• Proces de încheiere a sesiunii și o alternativă de urgență autorizată.

Acces de urgență fără mutarea credențialelor

Când un control blochează o reparație urgentă, calea este procesul de excepție, nu un al doilea laptop care duce aceleași credențiale. O excepție aprobată consemnează cine a autorizat-o, ce s-a relaxat și când se termină. Mutarea unei credențiale pe o mașină de uz zilnic schimbă granița în cel mai rău moment posibil, iar de obicei rămâne schimbată după aceea. Calea de urgență merită o repetiție cât timp nimic nu este stricat.

Apoi încheiați sesiunea așa cum spune acordul, și confirmați că accesul a încetat cu adevărat.