Propune un echipament de acces la distanță pe care proprietarul rețelei îl poate aproba

Un echipament de acces la distanță schimbă granița de rețea a clientului chiar și atunci când apelează spre exterior și nu are nevoie de nicio redirecționare de port de intrare. Direcția spre exterior este cea care îl face ușor de instalat și cea care îl face ușor de trecut cu vederea. Prezintă-l ca o cerere de proiectare a accesului înainte de a intra în rețea. Să îl prezinți ca pe ceva ce nu era nevoie să menționezi este modul în care un succes tehnic devine o problemă contractuală.

Presupune că proprietarul rețelei va pune patru întrebări: ce, cine, cât de departe și cum anulăm.

Cere resursa, nu subrețeaua

Descrie munca în termenii pe care îi folosește proprietarul: ce persoană are nevoie de ce serviciu, pe ce dispozitiv, pentru cât timp. O cerere limitată la o singură aplicație pe un singur host este ușor de aprobat. O cerere pentru o subrețea este o cerere de a reorganiza segmentarea altcuiva.

Este posibil ca clientul să ruleze deja un VPN aprobat, o poartă de acces la desktop la distanță sau un canal de asistență administrat care acoperă nevoia. Verifică asta mai întâi, pentru că refolosirea unei căi existente este de obicei cel mai ieftin răspuns pentru ambele părți. Dacă nu se potrivește, spune exact de ce. Acea comparație este partea cea mai puternică a propunerii.

Dacă un echipament este cu adevărat necesar, adu proprietarul lui, sursa software, procesul de actualizare și punctul de instalare prevăzut.

Arată conexiunea și unde se termină încrederea

Desenează echipamentul, utilizatorul la distanță, orice intermediar sau releu și resursa protejată. Marchează unde se termină criptarea și cine administrează fiecare capăt. O sesiune spre exterior introduce totuși o cale de control nouă, iar în diagramă acest lucru devine vizibil. Să spui că traficul este criptat răspunde la o întrebare de confidențialitate și la nicio întrebare de autorizare.

Menționează modul în mod explicit: redirecționare de pachete, proxy de aplicații sau un desktop expus. Fiecare are consecințe diferite pentru rutare și securitatea gazdei, și fiecare eșuează diferit atunci când echipamentul este compromis.

Ține rețelele clientului care nu au legătură și interfața proprie de administrare a echipamentului în afara domeniului aprobat.

Separă identitatea utilizatorului de identitatea dispozitivului

Înrolarea utilizatorilor, identitatea dispozitivului, autentificarea multifactor și autentificarea în aplicație sunt patru controale diferite, iar propunerea ar trebui să le numească pe fiecare. Acreditările partajate sunt scurtătura obișnuită și îl lasă pe proprietar incapabil să revoce o singură persoană fără a perturba pe toată lumea. Autentificarea ar trebui să rămână la aplicație. Echipamentul autentifică o conexiune; serviciul decide ce poate face acea conexiune.

Arhitectura zero-trust a NIST este utilă aici pentru că tratează accesul la resurse ca pe o decizie explicită și nu ca pe o consecință a locației în rețea.

Conveniți asupra recuperării și retragerii înainte de instalare

Proprietarul ar trebui să poată dezactiva accesul imediat printr-un control pe care îl operează el însuși, nu printr-un telefon către tine. Notează revocarea acreditărilor, retragerea echipamentului, responsabilitatea pentru actualizări și o dată de expirare sau de revizuire. Păstrează o cale de recuperare locală care să nu depindă de noul canal la distanță. Un echipament pe care nimeni nu îl poate retrage fără furnizor este o dependență permanentă deghizată în confort.

Păstrează evidențele proporționale: identități aprobate, domeniul accesului, modificări semnificative și defecțiuni relevante.

Colectarea istoricului de navigare fără legătură pentru a demonstra că echipamentul există nu este dovadă de funcționare bună și creează o obligație pe care proprietarul nu a cerut-o niciodată.

Cum arată o aprobare reușită

Acceptă proiectarea împreună cu proprietarul cu un serviciu permis și o resursă care trebuie să rămână refuzată. A doua jumătate este partea pe care oamenii o sar, și este singura parte care dovedește că granița se află unde spune diagrama. Testează revocarea în același mod, înainte ca echipamentul să ducă muncă reală. Dacă aprobarea este reținută, folosește alternativa autorizată a clientului sau fă munca local.

O conexiune funcțională nu este permisiunea de a crea calea de acces.

Notează aprobarea cu domeniul și cu expirarea ei și înmânează o copie proprietarului. Următoarea persoană care atinge acea rețea va citi evidența, nu amintirea ta despre conversație.