VPN prístup zákazníkov: dajte privilegovanej práci vlastné zariadenie

Profil pripojenia hovorí Production, tunel sa zdvihne a každé okno na ploche teraz dosiahne na zákaznícke systémy. Nič v tomto slede neoddelilo privilegovanú reláciu od susednej karty prehliadača. Profil VPN je názov plus sada trás; hranica, na ktorej vám skutočne záleží, sa skladá z identity zariadenia, riadeného prostredia spúšťania a cesty pre prihlasovacie údaje. Tieto tri sa presadzujú na rôznych miestach, a preto pridanie jedného a vynechanie ostatných vytvorí návrh, ktorý vyzerá v súlade, ale nie je.

Názov profilu nie je hranica

Klient pri zdvihnutí tunela použije trasy a konfiguráciu DNS a všetko, čo potom na tom stroji beží, zdedí oboje.

Názov v rozbaľovacom zozname mení to, čo operátor rozpozná, nie to, čo operačný systém dovolí.

Identita zariadenia je to, čo brána môže overiť

Brána, ktorá podporuje certifikáty zariadení alebo kontroly stavu, overuje stroj aj osobu. To je vrstva, ktorá dokáže odmietnuť pripojenie z nespravovaného notebooku skôr, než niekto napíše heslo. Dáva vám aj niečo konkrétne na odvolanie, keď sa zariadenie stratí. Skopírovanie jedného certifikátu na tri stroje presne túto vlastnosť odstráni, a preto životný cyklus certifikátu patrí do dohody, nie do zdieľaného priečinka.

Zákazník rozhoduje, ktoré z týchto kontrol jeho politika vyžaduje, a virtuálny stroj postavený dodávateľom nemusí kontrolu stavu vôbec splniť.

Kde hranica virtuálneho stroja presakuje

Virtuálny stroj drží nástroje zákazníka a stav siete pohromade, a to je naozaj užitočné. Závisí však aj od svojho hostiteľa a hypervizora a niekoľko vymožeností prekračuje hranicu: zdieľané priečinky, integrácia schránky, agenti prihlasovacích údajov a správa na úrovni hostiteľa. Privilegovaný hosť na denne používanom hostiteľovi nie je samostatne dôveryhodný, pretože hostiteľ môže pozorovať, čo hosť robí. Berte virtuálny stroj ako kontrolu, ktorá znižuje expozíciu, nie ako samostatnú bezpečnostnú doménu.

Vyhradené fyzické zariadenie odstraňuje závislosť od hostiteľa a namiesto nej pridáva povinnosť údržby.

Prihlasovacie údaje a cesty prenosu

Používajte individuálne, odvolateľné identity pre každého inžiniera a každého zákazníka a držte ich mimo osobných profilov prehliadača a histórie konverzácií. Údaje zdieľané celým tímom nemožno čisto priradiť, rotovať ani odvolať. Pred prvou reláciou rozhodnite o ceste prenosu nástrojov, súborov a diagnostického výstupu, pretože náhodné presúvanie súborov je spôsob, akým hranica potichu prestane byť hranicou. Ak treba dosiahnuť dvoch zákazníkov súčasne, najprv si dajte schváliť oddelenie siete a identity.

Nikdy neprepájajte dve zákaznícke siete cez jednu pracovnú stanicu len preto, že to v to popoludnie bolo pohodlné.

Dohoda, ktorá to robí opakovateľným

Napíšte krátky záznam pre každého zákazníka a uložte ho tam, kde ho nájdu obe strany. Mal by uvádzať schválené zariadenie alebo vzdialené prostredie a kto ho udržiava, povolené identity, systémy a operácie, ku ktorým sa môžu dostať, cestu prenosu a obvyklý spôsob ukončenia relácie.

Päť riadkov, ktoré niekto skontroluje, keď človek nastúpi alebo odíde, porazí politiku, ktorú nikto nedokáže uplatniť:

• Schválené zariadenie alebo vzdialené prostredie s určeným vlastníkom údržby.
• Individuálne identity používateľa a zariadenia povolené na podporu.
• Systémy a operácie, ku ktorým sa tieto identity môžu dostať.
• Povolená cesta pre nástroje, súbory a diagnostický výstup.
• Proces ukončenia relácie a autorizovaná núdzová alternatíva.

Núdzový prístup bez presúvania prihlasovacích údajov

Keď kontrola zablokuje naliehavú opravu, cestou je proces výnimky, nie druhý notebook s tými istými prihlasovacími údajmi. Schválená výnimka zaznamená, kto ju povolil, čo sa uvoľnilo a kedy sa končí. Presun prihlasovacích údajov na stroj dennej potreby mení hranicu v najhoršom možnom okamihu a zvyčajne tak zostane aj potom. Núdzová cesta si zaslúži skúšku, kým nič nie je pokazené.

Potom ukončite reláciu tak, ako hovorí dohoda, a potvrďte, že prístup sa naozaj zastavil.