Blokirajte eno napravo v VPN, ne da bi onemogočili celoten račun

En zaposleni, dva prenosnika in samo eden od njiju mora izgubiti dostop. Onemogočanje računa je očitna ročica, a kaznuje napačen obseg, medtem ko je brisanje shranjenega profila na končni točki predlog in ne nadzor. Odločitev se zvede na tri pogoje: ali obstaja identiteta naprave, ki jo VPN lahko preveri, ali ta konkretna povezava to resnično ocenjuje, in kaj želite, da se zgodi z napravo namesto z osebo. Odgovorite v tem vrstnem redu in izvajanje se običajno izbere samo.

Prvi pogoj: ali obstajajo dokazi o napravi, ki jih VPN lahko preveri?

Izvorni naslov si deli za pisarniškim NAT in se v mobilnih omrežjih spreminja. Ime gostitelja je tisto, kar naprava trdi, naslov MAC je mogoče trivialno ponarediti, vrednost v registru pa lahko zapiše karkoli z lokalnimi pravicami. Nič od tega ni identiteta, dokler tega nekaj ne preveri. Ločeno registrirana poverilnica naprave, kot je potrdilo, izdano tej končni točki, je edina možnost, ki preklicu da cilj, ožji od uporabniškega računa.

Poverilnica šteje le, če se povezava z njo overi in pri vsakem poskusu preveri verigo. Datoteka, ki leži v shrambi stroja, ne dokazuje ničesar.

Drugi pogoj: ali ta povezava to ocenjuje?

Atributi končne točke niso univerzalni. Na ASA vodnik ASDM DAP podjetja Cisco ločuje uporabniške informacije AAA od atributov ocenjevanja končne točke, in kateri atributi so na voljo, je odvisno od uporabljenega protokola oddaljenega dostopa, nameščenih orodij posture in licence. Preverjanje registra potrebuje podprto pot zbiranja, in tudi takrat poroča, kaj je videlo orodje končne točke, ne pa, da je stroj tisti, ki mu zaupate.

Praktično vprašanje je torej ozko: na tem tunelu, s tem odjemalcem in tem agentom posture, kateri atribut prispe izpolnjen in zanesljiv? Če je odgovor noben, se bo politika, napisana proti njemu, ujemala z ničimer ali z vsem, in oba izida so slabša od zaklepa računa, ki se mu je izogibali.

Tretji pogoj: zavrnitev, popravilo ali ožji dostop?

Na voljo so trije izidi in niso zamenljivi. Sejo lahko zaključite, kar dostop popolnoma odstrani; napravo lahko postavite v karanteno v stanje, kjer doseže le vire za popravilo; ali pa sejo pustite in skrčite njen ACL virov na nekaj stvari, ki jih naprava še potrebuje. Dejanja seje DAP in ACL virov odgovarjajo na različna vprašanja, zato izbira zadeva, koliko stranske škode mora oseba prenesti.

Za izgubljen ali ukraden prenosnik je odgovor običajno zaključek. Za stroj, ki ni prestal preverjanja posture, je popravilo prijaznejše in prav tako učinkovito.

Odločite, kaj se zgodi, ko dokazov ni

Privzeta pot je pomembnejša od pravila, ki ste ga napisali za dober primer. Če pričakovani atribut nikoli ne prispe, ker je agent posture pokvarjen, lahko politika, ki ga zahteva, pade na privzeto vrednost, ki sejo spusti. Preberite privzeti izid in primer brez dokazov namerno preizkusite, ker je to stanje, ki ga bo predstavil napadalec, ki odstrani agenta.

Več ujemajočih se zapisov DAP se združi, ne pa razreši s preprostim vrstnim redom prvega ujemanja, in njihova prioriteta ACL je ločen mehanizem od izbire zapisa. Preberite opis združevanja v vodniku, preden domnevate, da zmaga strožji zapis.

Obdelajte seje, ki že obstajajo, nato preizkusite obe napravi

Sprememba pravila sprejema ali preklic poverilnice ne opisuje, kaj se zgodi s sejo, ki je že vzpostavljena in prenaša promet. Če je zahteva takojšnja odstranitev, sledite postopku zaključka in ponovne ocene seje, ki ga podpira izvedba, namesto da čakate na naslednjo ponovno povezavo. To je korak, ki se med incidentom najpogosteje preskoči, in to je razlika med politiko in izidom.

Preizkusite z istim dovoljenim uporabnikom na obeh strojih v okviru odobrenega preverjanja. Blokirana naprava mora prejeti točno predvideno zavrnitev ali izid popravila, druga pa obdržati le svoje pooblaščene vire. To preveri mejo naprave, ne da bi preklicali drug odobren dostop osebe.

Če teh dveh izidov ne morete narediti različnih, je problem v dokazih, ne v politiki, in nobeno prilagajanje pravil tega ne bo popravilo.