Предложить устройство удалённого доступа, которое владелец сети сможет одобрить

Устройство удалённого доступа меняет границу сети клиента, даже когда оно подключается наружу и не требует никакой входящей переадресации портов. Именно направление наружу делает его простым в установке и простым в том, чтобы его не заметили. Представьте его как заявку на проектирование доступа, прежде чем оно попадёт в сеть. Представлять его как нечто, о чём не нужно было упоминать, — это путь, которым технический успех превращается в проблему договора.

Исходите из того, что владелец сети задаст четыре вопроса: что, кто, как далеко и как мы это откатим.

Просите ресурс, а не подсеть

Опишите работу терминами, которые использует владелец: какому человеку нужен какой сервис, на каком устройстве и на какое время. Заявку, ограниченную одним приложением на одном хосте, легко одобрить. Заявка на подсеть — это заявка на переустройство чужой сегментации.

Возможно, у клиента уже есть одобренный VPN, шлюз удалённого рабочего стола или управляемый канал поддержки, который закрывает потребность. Проверьте это прежде всего, потому что повторное использование существующего пути обычно самый дешёвый ответ для обеих сторон. Если он не подходит, скажите точно, почему. Это сравнение — самая сильная часть предложения.

Если устройство действительно необходимо, принесите его владельца, источник программного обеспечения, процесс обновления и предполагаемое место установки.

Покажите соединение и то, где доверие заканчивается

Нарисуйте устройство, удалённого пользователя, любого посредника или ретранслятор и защищаемый ресурс. Отметьте, где заканчивается шифрование и кто администрирует каждый конец. Исходящая сессия всё равно вводит новый путь управления, и именно на схеме это становится видно. Утверждение, что трафик зашифрован, отвечает на вопрос о конфиденциальности и ни на один вопрос об авторизации.

Укажите режим явно: пересылка пакетов, прокси приложений или открытый рабочий стол. У каждого разные последствия для маршрутизации и безопасности хоста, и каждый отказывает по-разному, когда устройство скомпрометировано.

Держите несвязанные сети клиента и собственный интерфейс администрирования устройства за пределами одобренного объёма.

Отделите идентичность пользователя от идентичности устройства

Регистрация пользователей, идентичность устройства, многофакторная аутентификация и вход в приложение — это четыре разные меры контроля, и предложение должно назвать каждую. Общие учётные данные — обычный короткий путь, и они оставляют владельца неспособным отозвать одного человека, не нарушив работу всех. Вход должен оставаться у приложения. Устройство аутентифицирует соединение; служба решает, что этому соединению разрешено делать.

Архитектура нулевого доверия NIST полезна здесь, потому что рассматривает доступ к ресурсам как явное решение, а не как следствие расположения в сети.

Договоритесь о восстановлении и удалении до установки

Владелец должен иметь возможность быстро отключить доступ через элемент управления, которым он сам распоряжается, а не через звонок вам. Запишите отзыв учётных данных, удаление устройства, ответственность за обновления и дату истечения или пересмотра. Сохраните локальный путь восстановления, который не зависит от нового удалённого канала. Устройство, которое никто не может удалить без поставщика, — это постоянная зависимость, замаскированная под удобство.

Ведите записи соразмерно: одобренные идентичности, объём доступа, значимые изменения и относящиеся к делу сбои.

Сбор несвязанной истории просмотров для доказательства существования устройства не является доказательством хорошей работы и создаёт обязательство, которого владелец никогда не просил.

Как выглядит успешное одобрение

Примите проект вместе с владельцем с одной разрешённой службой и одним ресурсом, который должен оставаться запрещённым. Эта вторая половина — та часть, которую люди пропускают, и единственная часть, доказывающая, что граница стоит там, где говорит схема. Проверьте отзыв так же, прежде чем устройство понесёт реальную работу. Если в одобрении отказано, используйте одобренную альтернативу клиента или выполните работу локально.

Работающее соединение — не разрешение создавать путь доступа.

Запишите одобрение с его объёмом и сроком и передайте копию владельцу. Следующий человек, который коснётся этой сети, прочитает запись, а не вашу память о разговоре.