Блокирајте један уређај са VPN-а без деактивирања целог налога

Један запослени, два преносна рачунара и само један од њих мора да изгуби приступ. Деактивирање налога је очигледна полуга, али кажњава погрешан обим, док је брисање сачуваног профила на крајњој тачки предлог, а не контрола. Одлука се своди на три услова: да ли постоји идентитет уређаја који VPN може да провери, да ли та конкретна веза тај идентитет заиста процењује и шта желите да се догоди са уређајем, а не са особом. Одговорите тим редом и спровођење се обично само изабере.

Први услов: постоје ли докази о уређају које VPN може да провери?

Изворна адреса је дељена иза канцеларијског NAT-а и мења се на мобилним мрежама. Име хоста је оно што уређај тврди, MAC адреса се тривијално лажира, а вредност у регистру може да упише било шта са локалним правима. Ништа од тога није идентитет док то нешто не провери. Засебно регистровани акредитив уређаја, попут сертификата издатог тој крајњој тачки, једина је опција која опозиву даје мету ужу од корисничког налога.

Акредитив се рачуна само ако се веза њиме аутентификује и проверава ланац при сваком покушају. Датотека која стоји у складишту машине не доказује ништа.

Други услов: процењује ли та веза то?

Атрибути крајње тачке нису универзални. На ASA, Ciscoov водич ASDM DAP одваја корисничке AAA информације од атрибута процене крајње тачке, а доступност атрибута зависи од коришћеног протокола за даљински приступ, инсталираних posture алата и лиценце. Провера регистра захтева подржану путању прикупљања, па и тада извештава шта је алат крајње тачке видео, а не да је машина она којој верујете.

Зато је практично питање уско: на овом тунелу, са овим клијентом и овим posture агентом, који атрибут долази попуњен и поуздан? Ако је одговор ниједан, политика написана против њега одговараће ничему или свему, а оба су исхода гора од закључавања налога које сте избегавали.

Трећи услов: одбијање, поправка или ужи приступ?

Доступна су три исхода и нису заменљиви. Можете да прекинете сесију, што потпуно уклања приступ; можете да ставите уређај у карантин у стање у којем достиже само ресурсе за поправку; или можете да оставите сесију и скратите њен ACL ресурса на неколико ствари које том уређају још требају. DAP радње сесије и ACL-ови ресурса одговарају на различита питања, па се избор односи на то колико пратеће штете особа треба да поднесе.

За изгубљен или украден преносни рачунар одговор је обично прекид. За машину која није прошла posture проверу, поправка је блажа и једнако делотворна.

Одлучите шта се дешава када докази недостају

Подразумевана путања је важнија од правила које сте написали за добар случај. Ако очекивани атрибут никада не стигне јер је posture агент покварен, политика која га захтева може да пропадне на подразумевану вредност која пушта сесију. Прочитајте подразумевани резултат и намерно тестирајте случај без доказа, јер то је стање које ће представити нападач који уклони агента.

Више подударних DAP записа се агрегира, а не решава једноставним редоследом првог подударања, а њихов ACL приоритет је одвојен механизам од избора записа. Прочитајте опис агрегације у водичу пре него што претпоставите да побеђује строжи запис.

Решите сесије које већ постоје, затим тестирајте оба уређаја

Промена правила пријема или опозив акредитива не описује шта се дешава са сесијом која је већ успостављена и пропушта саобраћај. Ако је потребно тренутно уклањање, следите процедуру прекида и поновне процене сесије коју имплементација подржава, уместо да чекате следеће поновно повезивање. То је корак који се најчешће прескаче током инцидента и то је разлика између политике и исхода.

Тестирајте са истим дозвољеним корисником на оба рачунара под одобреном провером. Блокирани уређај треба да добије тачно предвиђено одбијање или исход поправке, а други да задржи само своје овлашћене ресурсе. То проверава границу уређаја без опозива другог одобреног приступа особе.

Ако не можете да учините та два исхода различитим, проблем је у доказима, а не у политици, и никакво подешавање правила то неће поправити.