Предложити уређај за даљински приступ који власник мреже може одобрити

Уређај за даљински приступ мења мрежну границу клијента чак и када се јавља према споља и не треба никакво долазно прослеђивање портова. Смер према споља је оно што га чини лаким за инсталацију и што га чини лаким за превидети. Представите га као захтев за дизајн приступа пре него што дође на мрежу. Представити га као нешто што нисте морали да поменете јесте начин на који технички успех постаје уговорни проблем.

Претпоставите да ће власник мреже поставити четири питања: шта, ко, колико далеко и како то поништавамо.

Тражите ресур, а не подмрежу

Опишите посао терминима које власник користи: којој особи треба која услуга, на ком уређају и колико дуго. Захтев ограничен на једну апликацију на једном хосту лако је одобрити. Захтев за подмрежом је захтев да се нечија сегментација реорганизује.

Клијент можда већ користи одобрени VPN, мрежни пролаз за удаљену радну површину или управљани канал подршке који задовољава потребу. Проверите то прво, јер поновно коришћење постојеће стазе обично је најјефтинији одговор за обе стране. Ако се не уклапа, реците тачно зашто. То поређење је најјачи део предлога.

Ако је уређај заиста потребан, донесите његовог власника, извор софтвера, процес ажурирања и предвиђену тачку инсталације.

Покажите везу и где поверење престаје

Нацртајте уређај, удаљеног корисника, било каквог посредника или релеј и заштићени ресур. Означите где енкрипција престаје и ко управља сваким крајем. Одлазна сесија ипак уводи нову контролну стазу, а на дијаграму то постаје видљиво. Рећи да је саобраћај енкриптован одговара на питање поверљивости, а не на питање ауторизације.

Наведите начин рада експлицитно: прослеђивање пакета, апликацијски прокси или изложена радна површина. Сваки има различите последице по рутирање и безбедност хоста, и сваки на различит начин отказује када уређај буде компромитован.

Држите неповезане клијентове мреже и сопствено административно сучеље уређаја изван одобреног обухвата.

Раздвојите кориснички идентитет од идентитета уређаја

Упис корисника, идентитет уређаја, вишефакторска аутентификација и пријава у апликацију су четири различите контроле, и предлог би требало да наведе сваку од њих. Дељени акредитиви су уобичајена пречица и остављају власника неспособним да опозове једну особу без ометања свих. Пријава би требало да остане уз апликацију. Уређај аутентификује везу; услуга одлучује шта та веза сме да ради.

NIST-ова архитектура нултог поверења корисна је овде јер третира приступ ресурсима као експлицитну одлуку, а не као последицу мрежне локације.

Договорите опоравак и уклањање пре инсталације

Власник би требало да може брзо да онемогући приступ путем контроле којом сам управља, а не путем позива вама. Запишите опозив акредитива, уклањање уређаја, одговорност за ажурирања и датум истека или ревизије. Сачувајте локалну стазу опоравка која не зависи од новог даљинског канала. Уређај који нико не може да уклони без добављача је трајна зависност прерушена у погодност.

Водите евиденцију сразмерно: одобрени идентитети, обухват приступа, значајне промене и релевантни кварови.

Прикупљање неповезане историје прегледања да би се доказало да уређај постоји није доказ доброг рада и ствара обавезу коју власник никада није тражио.

Како изгледа успешно одобрење

Прихватите дизајн заједно с власником с једном дозвољеном услугом и једним ресурсом који мора остати одбијен. Та друга половина је део који људи прескачу, и то је једини део који доказује да граница стоји тамо где дијаграм каже. Тестирајте опозив на исти начин, пре него што уређај понесе стварни посао. Ако одобрење изостане, користите клијентову одобрену алтернативу или обавите посао локално.

Веза која ради није дозвола да се створи пут приступа.

Запишите одобрење с његовим обухватом и роком истека, и предајте копију власнику. Следећа особа која додирне ту мрежу читаће евиденцију, а не ваше сећање на разговор.