Заблокировать одно устройство в VPN, не отключая всю учётную запись

Один сотрудник, два ноутбука, и только один из них должен потерять доступ. Отключение учётной записи — очевидный рычаг, но оно наказывает не тот масштаб, тогда как удаление сохранённого профиля на конечной точке — предложение, а не контроль. Решение сводится к трём условиям: существует ли идентичность устройства, которую VPN может проверить, оценивает ли её именно это соединение и что вы хотите сделать с устройством, а не с человеком. Ответьте в этом порядке, и применение обычно выбирается само.

Первое условие: есть ли доказательства устройства, которые VPN может проверить?

Исходный адрес общий за офисным NAT и меняется в мобильных сетях. Имя узла — это то, что заявляет устройство, MAC-адрес легко подделать, а значение в реестре может записать что угодно с локальными правами. Ничто из этого не идентичность, пока что-то её не проверит. Отдельно зарегистрированные учётные данные устройства, например сертификат, выданный этой конечной точке, — единственный вариант, дающий отзыву цель более узкую, чем учётная запись пользователя.

Учётные данные считаются только если соединение аутентифицируется ими и проверяет цепочку при каждой попытке. Файл, лежащий в хранилище машины, ничего не доказывает.

Второе условие: оценивает ли это соединение их?

Атрибуты конечной точки не универсальны. На ASA руководство ASDM DAP от Cisco отделяет информацию AAA пользователя от атрибутов оценки конечной точки, и доступность атрибутов зависит от используемого протокола удалённого доступа, развёрнутых средств posture и лицензии. Проверка реестра требует поддерживаемого пути сбора, и даже тогда она сообщает то, что увидело средство конечной точки, а не то, что машина — та, которой вы доверяете.

Поэтому практический вопрос узок: в этом туннеле, с этим клиентом и этим агентом posture какой атрибут приходит заполненным и надёжным? Если ответ — ни один, политика, написанная против него, будет совпадать ни с чем или со всем, и оба результата хуже блокировки учётной записи, которой вы избегали.

Третье условие: отказ, исправление или более узкий доступ?

Доступны три результата, и они не взаимозаменяемы. Можно завершить сеанс, что полностью убирает доступ; можно поместить устройство в карантин в состояние, где оно достигает только ресурсов исправления; или можно оставить сеанс и урезать его ACL ресурсов до нескольких вещей, которые устройству ещё нужны. Действия сеанса DAP и ACL ресурсов отвечают на разные вопросы, поэтому выбор касается того, сколько сопутствующего ущерба должен понести человек.

Для потерянного или украденного ноутбука ответ обычно — завершение. Для машины, не прошедшей проверку posture, исправление мягче и столь же эффективно.

Решите, что происходит, когда доказательств нет

Путь по умолчанию важнее правила, написанного для хорошего случая. Если ожидаемый атрибут так и не приходит, потому что агент posture сломан, политика, требующая его, может провалиться к значению по умолчанию, которое допускает сеанс. Прочитайте результат по умолчанию и намеренно проверьте случай отсутствия доказательств, потому что именно это состояние представит злоумышленник, удаливший агента.

Несколько совпадающих записей DAP агрегируются, а не разрешаются простым порядком первого совпадения, и их приоритет ACL — отдельный механизм от выбора записи. Прочитайте описание агрегации в руководстве, прежде чем считать, что побеждает более строгая запись.

Обработайте уже существующие сеансы, затем проверьте оба устройства

Изменение правила допуска или отзыв учётных данных не описывает, что происходит с уже установленным сеансом, который пропускает трафик. Если требуется немедленное удаление, следуйте поддерживаемой реализацией процедуре завершения и переоценки сеанса, а не ждите следующего переподключения. Это шаг, который чаще всего пропускают во время инцидента, и это разница между политикой и результатом.

Проверьте с тем же разрешённым пользователем на обеих машинах в рамках одобренной проверки. Заблокированное устройство должно получить именно предусмотренный отказ или результат исправления, а другое — сохранить только свои авторизованные ресурсы. Это проверяет границу устройства, не отзывая другой одобренный доступ человека.

Если вы не можете сделать эти два результата разными, проблема в доказательствах, а не в политике, и никакая настройка правил это не исправит.