Navrhnúť zariadenie pre vzdialený prístup, ktoré správca siete môže schváliť

Zariadenie pre vzdialený prístup mení sieťovú hranicu klienta, aj keď volá smerom von a nepotrebuje žiadne prichádzajúce presmerovanie portov. Práve smer von ho robí ľahko nainštalovateľným a ľahko prehliadnuteľným. Predložte ho ako žiadosť o návrh prístupu skôr, než sa dostane do siete. Predkladať ho ako niečo, čo ste nemuseli spomenúť, je spôsob, akým sa technický úspech zmení na problém zmluvy.

Predpokladajte, že správca siete položí štyri otázky: čo, kto, ako ďaleko a ako to vrátime späť.

Žiadajte zdroj, nie podsietu

Opíšte prácu termínmi, ktoré správca používa: ktorá osoba potrebuje ktorú službu, na ktorom zariadení a ako dlho. Žiadosť obmedzená na jednu aplikáciu na jednom hostiteľovi sa schvaľuje ľahko. Žiadosť o podsieť je žiadosťou o preusporiadanie niekoho segmentácie.

Klient už môže prevádzkovať schválenú VPN, bránu pre vzdialenú plochu alebo spravovaný kanál podpory, ktorý potrebu pokrýva. Overte to najskôr, pretože opätovné použitie existujúcej cesty je zvyčajne najlacnejšia odpoveď pre obe strany. Ak sa to nehodí, povedzte presne prečo. To porovnanie je najsilnejšou časťou návrhu.

Ak je zariadenie skutočne potrebné, prineste jeho vlastníka, zdroj softvéru, proces aktualizácií a zamýšľané miesto inštalácie.

Ukážte spojenie a kde dôvera končí

Nakreslite zariadenie, vzdialeného používateľa, prípadného sprostredkovateľa alebo relé a chránený zdroj. Označte, kde sa končí šifrovanie a kto spravuje každý koncový bod. Odchádzajúca relácia napriek tomu zavádza novú riadiacu cestu a v diagrame to bude vidieť. Povedať, že prevádzka je šifrovaná, odpovedá na otázku dôvernosti a na žiadnu otázku autorizácie.

Uveďte režim výslovne: preposielanie paketov, aplikačné proxy alebo vystavená plocha. Každý má iné dôsledky pre smerovanie a bezpečnosť hostiteľa a každý zlyháva inak, keď je zariadenie kompromitované.

Udržujte nesúvisiace klientske siete a vlastné administračné rozhranie zariadenia mimo schváleného rozsahu.

Oddeľte identitu používateľa od identity zariadenia

Registrácia používateľov, identita zariadenia, viacfaktorové overovanie a prihlásenie do aplikácie sú štyri rôzne kontroly a návrh by mal každú z nich pomenovať. Zdieľané prihlasovacie údaje sú obvyklou skratkou a nechávajú správcu neschopného odobrať jednu osobu bez narušenia všetkých. Prihlásenie by malo zostať pri aplikácii. Zariadenie overuje spojenie; služba rozhoduje, čo toto spojenie smie robiť.

Architektúra nulovej dôvery NIST je tu užitočná, pretože prístup k zdrojom berie ako výslovné rozhodnutie, nie ako dôsledok umiestnenia v sieti.

Dohodnite obnovu a odstránenie pred inštaláciou

Správca by mal byť schopný prístup rýchlo vypnúť pomocou ovládania, ktoré sám obsluhuje, nie pomocou telefonátu vám. Zapíšte odvolanie prihlasovacích údajov, odstránenie zariadenia, zodpovednosť za aktualizácie a dátum vypršania alebo revízie. Zachovajte miestnu cestu obnovy, ktorá nezávisí od nového vzdialeného kanála. Zariadenie, ktoré nikto nedokáže odstrániť bez dodávateľa, je trvalá závislosť prezlečená za pohodlie.

Veďte záznamy primerane: schválené identity, rozsah prístupu, významné zmeny a relevantné výpadky.

Zbieranie nesúvisiacej histórie prehliadania na preukázanie, že zariadenie existuje, nie je dokladom dobrého fungovania a vytvára záväzok, ktorý správca nikdy nepožadoval.

Ako vyzerá úspešné schválenie

Prijmite návrh spolu so správcom s jednou povolenou službou a jedným zdrojom, ktorý musí zostať zamietnutý. Tá druhá polovica je časť, ktorú ľudia preskakujú, a je jedinou časťou, ktorá dokazuje, že hranica leží tam, kde diagram hovorí. Otestujte odvolanie rovnakým spôsobom, skôr než zariadenie ponesie skutočnú prácu. Ak je schválenie zadržané, použite klientom schválenú alternatívu alebo prácu urobte lokálne.

Fungujúce spojenie nie je povolením na vytvorenie prístupovej cesty.

Zapíšte schválenie s jeho rozsahom a platnosťou a odovzdajte kópiu správcovi. Ďalšia osoba, ktorá sa tej siete dotkne, bude čítať záznam, nie vašu spomienku na rozhovor.