VPN-доступ клиентов: дайте привилегированной работе собственное устройство

В профиле подключения написано Production, туннель поднимается, и любое окно на рабочем столе теперь может достучаться до систем клиента. Ничто в этой последовательности не отделило привилегированный сеанс от соседней вкладки браузера. Профиль VPN — это имя плюс набор маршрутов; граница, которая действительно важна, строится из идентичности устройства, контролируемой среды исполнения и пути для учётных данных. Все три обеспечиваются в разных местах, поэтому добавление одного и пропуск остальных даёт проект, который выглядит соответствующим требованиям и не является им.

Имя профиля — не граница

Клиент применяет маршруты и настройку DNS при поднятии туннеля, и всё, что после этого работает на той машине, наследует и то, и другое.

Имя в раскрывающемся списке меняет то, что распознаёт оператор, а не то, что разрешает операционная система.

Идентичность устройства — это то, что шлюз может проверить

Шлюз, поддерживающий сертификаты устройств или проверки состояния, аутентифицирует и машину, и человека. Именно этот уровень может отказать в подключении с неуправляемого ноутбука ещё до того, как кто-то введёт пароль. Он также даёт что-то конкретное для отзыва при потере устройства. Копирование одного сертификата на три машины устраняет ровно это свойство, поэтому жизненный цикл сертификата относится к соглашению, а не к общей папке.

Клиент решает, какие из этих мер требует его политика, а виртуальная машина, построенная поставщиком, может вообще не пройти проверку состояния.

Где течёт граница виртуальной машины

Виртуальная машина держит инструменты клиента и состояние сети вместе, и это действительно удобно. Но она зависит от своего хоста и гипервизора, а несколько удобств пересекают границу: общие папки, интеграция буфера обмена, агенты учётных данных и доступ к управлению на уровне хоста. Привилегированный гость на хосте повседневного использования не является независимо надёжным, потому что хост может наблюдать за тем, что делает гость. Относитесь к виртуальной машине как к контролю, снижающему экспозицию, а не как к отдельному домену безопасности.

Выделенное физическое устройство убирает зависимость от хоста и добавляет взамен обязанность обслуживания.

Учётные данные и пути передачи

Используйте отдельные, отзываемые идентичности для каждого инженера и каждого клиента и держите их вне личных профилей браузера и истории чатов. Учётные данные, которые делит вся команда, нельзя чисто отнести к кому-то, сменить или отозвать. Определите путь передачи для инструментов, файлов и диагностического вывода до первого сеанса, потому что именно спонтанное перемещение файлов — это способ, которым граница тихо перестаёт быть границей. Если нужно достичь двух клиентов одновременно, сначала получите одобрение разделения сети и идентичности.

Никогда не связывайте две сети клиентов через одну рабочую станцию только потому, что в тот день это было удобно.

Соглашение, которое делает это повторяемым

Напишите короткую запись по каждому клиенту и храните её там, где обе стороны смогут её найти. В ней должны быть названы утверждённое устройство или удалённая среда и тот, кто её обслуживает, разрешённые идентичности, системы и операции, до которых они могут добраться, путь передачи и обычный способ завершения сеанса.

Пять строк, которые кто-то просматривает при приходе или уходе человека, лучше политики, которую никто не может применить:

• Утверждённое устройство или удалённая среда с названным ответственным за обслуживание.
• Отдельные идентичности пользователя и устройства, разрешённые для поддержки.
• Системы и операции, до которых эти идентичности могут добраться.
• Разрешённый путь для инструментов, файлов и диагностического вывода.
• Процесс завершения сеанса и уполномоченная аварийная альтернатива.

Аварийный доступ без перемещения учётных данных

Когда контроль блокирует срочный ремонт, путём является процесс исключения, а не второй ноутбук с теми же учётными данными. Утверждённое исключение фиксирует, кто его разрешил, что было ослаблено и когда оно заканчивается. Перенос учётных данных на машину повседневного использования меняет границу в худший возможный момент, и обычно после этого она остаётся изменённой. Аварийный путь заслуживает тренировки, пока ничего не сломано.

Затем завершите сеанс так, как сказано в соглашении, и подтвердите, что доступ действительно прекратился.