Zablokujte jedno zariadenie vo VPN bez deaktivácie celého účtu

Jeden zamestnanec, dva notebooky a prístup musí stratiť len jeden z nich. Deaktivácia účtu je zrejmá páka, ale trestá nesprávny rozsah, zatiaľ čo vymazanie uloženého profilu na koncovom bode je návrh, nie kontrola. Rozhodnutie sa redukuje na tri podmienky: či existuje identita zariadenia, ktorú VPN dokáže overiť, či ju toto konkrétne pripojenie skutočne vyhodnocuje a čo chcete, aby sa stalo so zariadením namiesto s osobou. Odpovedzte v tomto poradí a vynucovanie si zvyčajne vyberie samo.

Prvá podmienka: existujú dôkazy o zariadení, ktoré VPN dokáže overiť?

Zdrojová adresa je zdieľaná za kancelárskym NAT a v mobilných sieťach sa mení. Názov hostiteľa je to, čo zariadenie tvrdí, MAC adresa sa triviálne podvrhne a hodnotu v registri môže zapísať čokoľvek s lokálnymi právami. Nič z toho nie je identita, kým to niečo neoverí. Samostatne zapísaný poverený údaj zariadenia, napríklad certifikát vydaný tomuto koncovému bodu, je jediná možnosť, ktorá dáva odvolaniu cieľ užší než používateľský účet.

Poverený údaj sa počíta len vtedy, keď sa pripojenie autentizuje ním a pri každom pokuse overí reťaz. Súbor ležiaci v úložisku stroja nič nedokazuje.

Druhá podmienka: vyhodnocuje toto pripojenie ten údaj?

Atribúty koncového bodu nie sú univerzálne. Na ASA sprievodca ASDM DAP od Cisco oddeľuje používateľské informácie AAA od atribútov hodnotenia koncového bodu a dostupnosť atribútov závisí od použitého protokolu vzdialeného prístupu, nasadených nástrojov posture a licencie. Kontrola registra potrebuje podporovanú cestu zberu, a aj tak hlási, čo videl nástroj koncového bodu, nie že stroj je ten, ktorému veríte.

Praktická otázka je teda úzka: na tomto tuneli, s týmto klientom a týmto posture agentom, ktorý atribút dorazí vyplnený a dôveryhodný? Ak odpoveď znie žiadny, politika proti nemu napísaná bude zodpovedať ničomu alebo všetkému a oba výsledky sú horšie než zámok účtu, ktorému ste sa vyhýbali.

Tretia podmienka: odmietnutie, náprava alebo užší prístup?

K dispozícii sú tri výsledky a nie sú zameniteľné. Môžete ukončiť reláciu, čo prístup úplne odstráni; môžete zariadenie umiestniť do karantény do stavu, keď dosiahne len prostriedky nápravy; alebo môžete reláciu ponechať a orezať jej ACL prostriedkov na niekoľko vecí, ktoré zariadenie ešte potrebuje. Akcie relácie DAP a ACL prostriedkov odpovedajú na rôzne otázky, takže voľba je o tom, koľko vedľajšej škody má osoba zniesť.

Pri stratenom alebo ukradnutom notebooku je odpoveďou zvyčajne ukončenie. Pri stroji, ktorý neprešiel kontrolou posture, je náprava láskavejšia a rovnako účinná.

Rozhodnite, čo sa stane, keď dôkazy chýbajú

Predvolená cesta je dôležitejšia než pravidlo, ktoré ste napísali pre dobrý prípad. Ak očakávaný atribút nikdy nedorazí, pretože posture agent je pokazený, politika, ktorá ho vyžaduje, môže prepadnúť na predvolenú hodnotu, ktorá reláciu pustí. Prečítajte si predvolený výsledok a prípad bez dôkazov zámerne otestujte, pretože to je stav, ktorý predvedie útočník, ktorý agenta odstráni.

Viac zodpovedajúcich záznamov DAP sa agreguje, nie rieši jednoduchým poradím prvého zásahu, a ich priorita ACL je samostatný mechanizmus od výberu záznamu. Prečítajte si opis agregácie v sprievodcovi, než budete predpokladať, že vyhrá prísnejší záznam.

Vyriešte relácie, ktoré už existujú, a potom otestujte oba stroje

Zmena pravidla prijatia alebo odvolanie povereného údaja neopisuje, čo sa stane s reláciou, ktorá už je nadviazaná a prenáša prevádzku. Ak je požiadavkou okamžité odstránenie, postupujte podľa implementáciou podporovaného postupu ukončenia a prehodnotenia relácie namiesto čakania na ďalšie opätovné pripojenie. Je to krok, ktorý sa pri incidente najčastejšie preskakuje, a je to rozdiel medzi politikou a výsledkom.

Testujte s tým istým povoleným používateľom na oboch strojoch v rámci schválenej kontroly. Blokované zariadenie má dostať presne zamýšľané odmietnutie alebo výsledok nápravy a druhé má zachovať len svoje autorizované prostriedky. Tým sa overí hranica zariadenia bez odvolania iného schváleného prístupu osoby.

Ak nedokážete tieto dva výsledky odlíšiť, problém je v dôkazoch, nie v politike, a žiadne ladenie pravidiel to nespraví.