Predlagati napravo za oddaljeni dostop, ki jo lahko lastnik omrežja odobri

Naprava za oddaljeni dostop spremeni omrežno mejo odjemalca tudi takrat, ko se povezuje navzven in ne potrebuje nobenega dohodnega posredovanja vrat. Prav smer navzven jo naredi lahko namestljivo in lahko spregledano. Predstavite jo kot zahtevo za načrt dostopa, preden pride v omrežje. Predstavljati jo kot nekaj, česar ni bilo treba omeniti, je način, kako tehnični uspeh postane pogodbeni problem.

Predpostavite, da bo lastnik omrežja postavil štiri vprašanja: kaj, kdo, kako daleč in kako to razveljavimo.

Zahtevajte vir, ne podomrežje

Opišite delo s pojmi, ki jih uporablja lastnik: katera oseba potrebuje katero storitev, na kateri napravi in kako dolgo. Zahtevo, omejeno na eno aplikacijo na enem gostitelju, je enostavno odobriti. Zahteva za podomrežje pomeni zahtevo za preureditev nečije segmentacije.

Odjemalec morda že uporablja odobren VPN, prehod za oddaljeni namizni sistem ali upravljani kanal za podporo, ki zadovolji potrebo. To preverite najprej, ker je ponovna uporaba obstoječe poti običajno najcenejši odgovor za obe strani. Če se ne ujema, povejte natančno, zakaj ne. Ta primerjava je najmočnejši del predloga.

Če je naprava resnično potrebna, prinesite njenega lastnika, vir programske opreme, postopek posodabljanja in predvideno točko namestitve.

Pokažite povezavo in kje se zaupanje konča

Narišite napravo, oddaljenega uporabnika, morebitnega posrednika ali rele in zaščiteni vir. Označite, kje se šifriranje konča in kdo upravlja vsako končno točko. Odhodna seja vseeno uvede novo krmilno pot, in na diagramu to postane vidno. Reči, da je promet šifriran, odgovori na vprašanje zaupnosti in na nobeno vprašanje avtorizacije.

Način navedite izrecno: posredovanje paketov, aplikacijski proxy ali izpostavljeno namizje. Vsak ima drugačne posledice za usmerjanje in varnost gostitelja, in vsak odpove drugače, ko je naprava kompromitirana.

Nepovezana odjemalčeva omrežja in lastni upravljalni vmesnik naprave držite zunaj odobrenega obsega.

Ločite uporabniško identiteto od identitete naprave

Vpis uporabnikov, identiteta naprave, večfaktorska avtentikacija in prijava v aplikacijo so štiri različne kontrole, in predlog bi moral imenovati vsako od njih. Skupne poverilnice so običajna bližnjica in lastniku onemogočijo, da bi preklical eno osebo, ne da bi motil vse. Prijava bi morala ostati pri aplikaciji. Naprava avtenticira povezavo; storitev odloči, kaj sme ta povezava početi.

Arhitektura ničelnega zaupanja NIST je tu koristna, ker obravnava dostop do virov kot izrecno odločitev in ne kot posledico omrežne lokacije.

Dogovorite obnovitev in odstranitev pred namestitvijo

Lastnik bi moral dostop hitro onemogočiti prek krmilnika, ki ga upravlja sam, ne prek klica vam. Zapišite preklic poverilnic, odstranitev naprave, odgovornost za posodobitve in datum poteka ali pregleda. Ohranite lokalno pot obnovitve, ki ni odvisna od novega oddaljenega kanala. Naprava, ki je nihče ne more odstraniti brez dobavitelja, je trajna odvisnost, preoblečena v udobje.

Vodite evidence sorazmerno: odobrene identitete, obseg dostopa, pomembne spremembe in ustrezne okvare.

Zbiranje nepovezane zgodovine brskanja za dokazovanje, da naprava obstaja, ni dokaz dobrega delovanja in ustvari obveznost, ki je lastnik ni nikoli zahteval.

Kako izgleda uspešna odobritev

Sprejmite načrt skupaj z lastnikom z eno dovoljeno storitvijo in enim virom, ki mora ostati zavrnjen. Ta druga polovica je del, ki ga ljudje preskočijo, in edini del, ki dokaže, da meja leži tam, kjer pravi diagram. Preklic preizkusite na enak način, preden naprava nosi resnično delo. Če je odobritev zadržana, uporabite odjemalčevo odobreno alternativo ali delo opravite lokalno.

Delujoča povezava ni dovoljenje za ustvaritev dostopne poti.

Zapišite odobritev z njenim obsegom in veljavnostjo ter izročite kopijo lastniku. Naslednja oseba, ki se bo dotaknila tega omrežja, bo brala zapis, ne vašega spomina na pogovor.