Bllokoni një pajisje nga VPN pa çaktivizuar të gjithë llogarinë

Një punonjës, dy laptopë dhe vetëm njëri prej tyre duhet të humbasë aksesin. Çaktivizimi i llogarisë është levë e dukshme, por ndëshkon shtrirjen e gabuar, ndërsa fshirja e një profili të ruajtur në pikën fundore është sugjerim dhe jo kontroll. Vendimi zbret në tri kushte: a ekziston një identitet pajisjeje që VPN mund ta verifikojë, a e vlerëson vërtet kjo lidhje e veçantë atë, dhe çfarë dëshironi të ndodhë me pajisjen në vend të personit. Përgjigjuni në atë rend dhe zbatimi zakonisht zgjedh vetë.

Kushti i parë: a ka dëshmi pajisjeje që VPN mund të verifikojë?

Një adresë burimi ndahet pas NAT-it të zyrës dhe ndryshon në rrjetet mobile. Emri i hostit është ajo që pretendon pajisja, një adresë MAC falsifikohet lehtësisht, dhe një vlerë në regjistër mund të shkruhet nga çdo gjë me të drejta lokale. Asnjë prej tyre nuk është identitet derisa diçka ta verifikojë. Një kredencial pajisjeje e regjistruar veçmas, si një certifikatë e lëshuar për atë pikë fundore, është opsioni i vetëm që i jep revokimit një objektiv më të ngushtë se llogaria e përdoruesit.

Kredenciali llogaritet vetëm nëse lidhja vërtetohet me të dhe vërteton zinxhirin në çdo përpjekje. Një skedar që ndodhet në depon e makinës nuk provon asgjë.

Kushti i dytë: a e vlerëson kjo lidhje atë?

Atributet e pikës fundore nuk janë universale. Në një ASA, udhëzuesi ASDM DAP i Cisco ndan informacionin AAA të përdoruesit nga atributet e vlerësimit të pikës fundore, dhe cilat atribute janë të disponueshme varet nga protokolli i aksesit në distancë i përdorur, mjetet e posture të vendosura dhe licenca. Një kontroll regjistri kërkon rrugën e mbështetur të grumbullimit dhe, edhe atëherë, raporton atë që pa mjeti i pikës fundore, jo që makina është ajo që i besoni.

Prandaj pyetja praktike është e ngushtë: në këtë tunel, me këtë klient dhe këtë agjent posture, cili atribut vjen i plotësuar dhe i besueshëm? Nëse përgjigjja është asnjë, një politikë e shkruar kundër tij do të përputhet me asgjë ose me gjithçka, dhe të dyja rezultatet janë më të këqija se bllokimi i llogarisë që po shmangnit.

Kushti i tretë: refuzim, riparim apo akses më i ngushtë?

Janë të disponueshme tri rezultate dhe nuk janë të këmbyeshme. Mund të përfundoni sesionin, gjë që heq aksesin plotësisht; mund ta vendosni pajisjen në karantinë në një gjendje ku arrin vetëm burime riparimi; ose mund ta lini sesionin dhe të shkurtoni ACL-në e burimeve të tij në ato pak gjëra që pajisja ka ende nevojë. Veprimet e sesionit DAP dhe ACL-të e burimeve përgjigjen pyetjeve të ndryshme, kështu që zgjedhja ka të bëjë me sa dëm kolateral duhet të përballojë personi.

Për një laptop të humbur ose të vjedhur përgjigjja është zakonisht përfundimi. Për një makinë që dështoi në një kontroll posture, riparimi është më i butë dhe po aq i efektshëm.

Vendosni çfarë ndodh kur mungojnë dëshmitë

Rruga e parazgjedhur ka më shumë rëndësi se rregulli që shkruat për rastin e mirë. Nëse atributi i pritur nuk vjen kurrë sepse agjenti posture është prishur, një politikë që e kërkon mund të bjerë në një parazgjedhje që e pranon sesionin. Lexoni rezultatin e parazgjedhur dhe provoni me qëllim rastin pa dëshmi, sepse ai është gjendja që do të paraqesë një sulmues që heq agjentin.

Disa regjistrime DAP që përputhen grumbullohen dhe nuk zgjidhen me një rend të thjeshtë të përputhjes së parë, dhe përparësia e tyre ACL është një mekanizëm i veçantë nga përzgjedhja e regjistrimit. Lexoni përshkrimin e grumbullimit në udhëzues përpara se të supozoni se fiton regjistrimi më i rreptë.

Trajtoni sesionet që ekzistojnë tashmë, pastaj provoni të dyja pajisjet

Ndryshimi i një rregulli pranimi ose revokimi i një kredenciali nuk përshkruan çfarë ndodh me një sesion të vendosur tashmë që kalon trafik. Nëse heqja e menjëhershme është kërkesa, ndiqni procedurën e përfundimit dhe rivlerësimit të sesionit të mbështetur nga implementimi në vend që të prisni rilidhjen tjetër. Ky është hapi që anashkalohet më shpesh gjatë një incidenti, dhe është ndryshimi midis një politike dhe një rezultati.

Provoni me të njëjtin përdorues të lejuar në të dyja makinat nën një kontroll të miratuar. Pajisja e bllokuar duhet të marrë saktësisht refuzimin ose rezultatin e riparimit të synuar, dhe tjetra duhet të mbajë vetëm burimet e saj të autorizuara. Kjo verifikon kufirin e pajisjes pa revokuar aksesin tjetër të miratuar të personit.

Nëse nuk mund t'i bëni këto dy rezultate të ndryshme, problemi janë dëshmitë, jo politika, dhe asnjë rregullim rregullash nuk do ta rregullojë.