Uvijek uključen VPN: razdvajanje puta, dozvole i sesije

Držati tunel otvoren cijeli dan je dizajnerska odluka koja ima opravdanu i nepažljivu verziju. Podružnica kojoj treba centralna aplikacija cijeli dan, uz noćni posao sigurnosne kopije, ima razlog. Laptop ostavljen priključen u hotelskoj sobi tri dana je nesreća.

Oba pokazuju istu zelenu ikonu i oba odgovaraju isto ako pitate koliko je tunel dugo podignut. Taj broj nije zanimljiv. Važno je šta veza drži dostupnim, kome i šta je zapravo prekida.

Tri sata koja idu odvojeno

Prvo stanje je put. Tunel i njegove politike čine skup servisa dostupnim, a link bez saobraćaja može ostati spreman za sljedeći zahtjev. Koliko dugo ostaje spreman je odluka implementacije, ne univerzalni tajmer.

Drugo stanje je dozvola. Prihvaćeni identitet ili uređaj može biti ovlašten da koristi taj put. To ovlaštenje treba da se promijeni kada se promijeni uloga, kada uređaj nestane ili kada se sumnja na kompromitaciju, i nezavisno je od toga da li paketi teku.

Treće stanje je sopstvena sesija aplikacije. Klijent baze podataka, udaljena radna površina ili web aplikacija autentifikuju se odvojeno i drže sopstveno stanje. Zatvaranje tunela ne prekida nužno bilo šta od toga.

Pregled koji ovo tretira kao jedno pitanje završi u raspravi o tajmerima mirovanja. Sva tri mogu biti zdrava ili pokvarena sama po sebi, a nalaz u jednom malo govori o ostalima. Kontrolna lista sa tri reda pobjeđuje raspravu o jednoj vrijednosti tajm-auta. Napišite odgovor za svako stanje odvojeno.

Tunel je put, a ne značka

Uspostavljen tunel je dokaz da između dvije krajnje tačke postoji zaštićen put. To nije dokaz da svaki proces iza bilo koje krajnje tačke treba da dosegne svaki servis na drugoj strani.

NIST smjernice o zero trust kažu istu stvar sa druge strane: mrežnu lokaciju ne treba tretirati kao implicitno povjerenje. Link lokacije je transportna činjenica, a dozvola da jedan host koristi jednu aplikaciju je odvojena odluka sa sopstvenim vlasnikom.

Kompromitovani peer i dalje može pokušavati štetne radnje kroz servise do kojih ima dozvolu da dosegne. Filtriranje i nadzor smanjuju konkretne rizike bez brisanja posljedica kompromitacije krajnje tačke. Projektujte za put, a ovlašćujte za servis.

Opravdavanje trajnog linka lokacije

Odbranjiva verzija uvijek uključenog precizno imenuje svoju svrhu. Koji izvori, koja odredišta, koji smjer i ko je vlasnik svakog unosa. Firewall podružnice koji dozvoljava svakom hostu podružnice svaku centralnu podmrežu nije zadržao link za imenovanu svrhu; zadržao ga je za sve čega se neko kasnije sjeti.

Gdje peer ne može zadovoljiti potreban nivo povjerenja, suzite granicu ili promijenite raspored. Oslanjanje na povremeno ručno isključivanje je procesna kontrola, a procesne kontrole su najmanje pouzdane upravo kada ih incident učini nezgodnim.

Držite opravdanje uz konfiguraciju. Trajni izuzetak sa napisanom svrhom može se pregledati i povući. Onaj bez svrhe postaje trajan po defaultu.

Zamjena ključeva nije opoziv

Zamjena ključeva po rasporedu održava životni ciklus zaštite. Osvježava materijal i čuva povjerljivost. Ne uklanja pravo krajnje tačke.

Ako krajnja tačka još ima važeće akreditive i politiku pristupa koja je prihvata, sljedeće pregovaranje vraća isti dozvoljeni put. Zato tvrdnja da se ključevi rotiraju svakog sata nije odgovor na izgubljeni uređaj: izgubljeni uređaj se takođe rotira, dokle god je njegov identitet povjeren. Provjerite pravo prije nego što provjerite raspored. Rotacija je higijena, a opoziv je odluka o pristupu.

Opoziv je drugi mehanizam sa sopstvenim kašnjenjem: opozvan sertifikat, onemogućen nalog, promijenjena grupa, uklonjeno mrežno pravilo. Svaki djeluje u drugoj tački i svaki se ponaša drugačije za sesije koje su već uspostavljene.

Prekidanje onoga što već radi

Pitajte šta implementacija radi sa uspostavljenim sesijama kada se pristup ukloni. Može ih prekinuti, čekati istek ili primijeniti neko dokumentovano ponašanje između toga. Ne pretpostavljajte da će sutrašnja promjena prijema zatvoriti današnju vezu aplikacije.

Za interaktivni pristup, ograničenja sesije i pravila neaktivnosti dajte vlasnicima identiteta i VPN-a, a ne samo mrežnom timu. Za servis lokacije postavite proceduru koju održavanje, prekid rada ili bezbjednosni incident koriste da onemoguće pristup.

Zatim testirajte tri ishoda: dozvoljeni rad još funkcioniše, nepovezani servis je odbijen i procedura uklanjanja daje dokumentovani rezultat. Dizajn uvijek uključenog je prihvatljiv kada su njegova svrha, ovlaštenje i mogućnost isključivanja svi napisani i uvježbani. Inače je to pogodnost koja je nadživjela svoj razlog.