VPN vždy zapnuté: oddelenie cesty, oprávnenia a relácie

Držať tunel otvorený nepretržite je dizajnové rozhodnutie, ktoré má legitímnu aj nedbalú verziu. Pobočka, ktorá celý deň potrebuje centrálnu aplikáciu a v noci vykonáva zálohu, má dôvod. Laptop ponechaný pripojený v hotelovej izbe tri dni je nehoda.

Oba zobrazujú rovnakú zelenú ikonu a oba odpovedia rovnako, ak sa spýtate, ako dlho je tunel vytvorený. To číslo nie je to zaujímavé. Dôležité je, čo spojenie udržiava dostupné, komu a čo ho skutočne ukončí.

Tri hodiny, ktoré bežia oddelene

Prvý stav je cesta. Tunel a jeho politiky sprístupňujú súbor služieb a spojenie bez prevádzky môže zostať pripravené na ďalšiu požiadavku. Ako dlho zostane pripravené, je rozhodnutie implementácie, nie univerzálny časovač.

Druhý stav je oprávnenie. Prijatá identita alebo zariadenie môže byť oprávnené používať túto cestu. Toto oprávnenie by sa malo zmeniť, keď sa zmení rola, zariadenie zmizne alebo existuje podozrenie na kompromitáciu, a je nezávislé od toho, či plynú pakety.

Tretí stav je vlastná relácia aplikácie. Klient databázy, vzdialená plocha alebo webová aplikácia sa autentifikuje oddelene a udržiava si vlastný stav. Zatvorenie tunela nemusí ukončiť nič z toho.

Prehľad, ktorý to berie ako jednu otázku, skončí hádkou o časovačoch nečinnosti. Všetky tri môžu byť zdravé alebo pokazené samostatne a zistenie v jednom hovorí málo o ostatných. Kontrolný zoznam s tromi riadkami poráža debatu o jednej hodnote časového limitu. Odpoveď pre každý stav napíšte oddelene.

Tunel je cesta, nie odznak

Vytvorený tunel je dôkazom, že medzi dvoma koncovými bodmi existuje chránená cesta. Nie je dôkazom, že každý proces za ktorýmkoľvek koncovým bodom by mal dosiahnuť každú službu na druhej strane.

Usmernenie NIST k zero trust hovorí to isté z opačnej strany: sieťová poloha by sa nemala brať ako implicitná dôvera. Prepojenie lokality je dopravný fakt a oprávnenie jedného hostiteľa používať jednu aplikáciu je samostatné rozhodnutie s vlastným vlastníkom.

Kompromitovaný peer môže stále skúšať škodlivé činnosti prostredníctvom služieb, ku ktorým má povolený prístup. Filtrovanie a monitorovanie znižujú konkrétne riziká bez toho, aby vymazali následky kompromitácie koncového bodu. Navrhujte pre cestu a oprávňujte pre službu.

Odôvodnenie trvalého prepojenia lokality

Obhájiteľná verzia vždy zapnutého presne pomenúva svoj účel. Ktoré zdroje, ktoré cieľe, ktorý smer a kto vlastní každý záznam. Pobočkový firewall, ktorý povoľuje každému hostiteľovi pobočky každú centrálnu podsiev, neudržiava spojenie pre pomenovaný účel; udržiava ho pre čokoľvek, čo niekoho neskôr napadne.

Tam, kde peer nemôže splniť požadovanú úroveň dôvery, zúžte hranicu alebo zmeňte usporiadanie. Spoliehať sa na občasné manuálne odpojenie je procesná kontrola a procesné kontroly sú najmenej spoľahlivé práve vtedy, keď ich incident urobí nepohodlnými.

Udržujte odôvodnenie spolu s konfiguráciou. Trvalá výnimka s písaným účelom sa dá preskúmať a zrušiť. Výnimka bez účelu sa stane trvalou automaticky.

Výmena kľúčov nie je odvolanie

Výmena kľúčov podľa harmonogramu udržiava životný cyklus ochrany. Obnovuje materiál a zachováva dôvernosť. Neodstraňuje nárok koncového bodu.

Ak koncový bod stále má platné prihlasovacie údaje a politiku prístupu, ktorá ho akceptuje, ďalšie vyjednávanie obnoví tú istú povolenú cestu. Preto tvrdenie, že kľúče sa otáčajú každú hodinu, nie je odpoveďou na stratené zariadenie: stratené zariadenie sa tiež otáča, pokiaľ je jeho identita dôveryhodná. Skontrolujte nárok skôr, než skontrolujete harmonogram. Rotácia je hygiena a odvolanie je rozhodnutie o prístupe.

Odvolanie je iný mechanizmus s vlastnou latenciou: odvolaný certifikát, deaktivovaný účet, zmenená skupina, odstránené sieťové pravidlo. Každý účinkuje v inom bode a každý sa správa inak voči reláciám, ktoré už existujú.

Ukončenie toho, čo už beží

Spýtajte sa, čo implementácia robí s vytvorenými reláciami, keď sa prístup odstráni. Môže ich ukončiť, čakať na vypršanie alebo uplatniť nejaké dokumentované správanie medzi tým. Nepredpokladajte, že zajtrajšia zmena prijatia zatvorí dnešné pripojenie aplikácie.

Pre interaktívny prístup odovzdajte limity relácií a pravidlá nečinnosti vlastníkom identity a VPN, nie iba sieťovému tímu. Pre službu lokality nastavte postup, ktorý údržba, výpadok alebo bezpečnostný incident používajú na vypnutie prístupu.

Potom otestujte tri výsledky: povolená práca stále funguje, nesúvisiaca služba je odmietnutá a postup odstránenia prináša dokumentovaný výsledok. Návrh vždy zapnutého je prijateľný, keď sú jeho účel, oprávnenie a možnosť vypnutia všetky zapísané a precvičené. Inak je to pohodlie, ktoré prežilo svoj dôvod.