Blockera en enhet från VPN utan att inaktivera hela kontot

En anställd, två bärbara datorer och bara en av dem ska förlora åtkomsten. Att inaktivera kontot är den uppenbara spaken men den straffar fel omfattning, medan radering av en sparad profil på slutpunkten är ett förslag och inte en kontroll. Beslutet kokar ner till tre villkor: om det finns en enhetsidentitet som VPN kan verifiera, om just den här anslutningen faktiskt utvärderar den, och vad du vill ska hända med enheten i stället för med personen. Svara i den ordningen och verkställigheten väljer oftast sig själv.

Första villkoret: finns det enhetsbevis som VPN kan verifiera?

En källadress delas bakom kontorets NAT och ändras i mobilnät. Ett värdnamn är vad enheten påstår, en MAC-adress förfalskas trivialt och ett registervärde kan skrivas av vad som helst med lokala rättigheter. Ingen av dessa är en identitet förrän något verifierar den. En separat registrerad enhetslegitimation, som ett certifikat utfärdat till den slutpunkten, är det enda alternativet som ger återkallelse ett mål som är snävare än användarkontot.

Legitimationen räknas bara om anslutningen autentiserar med den och validerar kedjan vid varje försök. En fil i maskinens lager bevisar ingenting.

Andra villkoret: utvärderar den här anslutningen den?

Slutpunktsattribut är inte universella. På en ASA skiljer Ciscos ASDM DAP-guide användar-AAA-information från slutpunktsbedömningsattribut, och vilka attribut som är tillgängliga beror på fjärråtkomstprotokollet som används, de posture-verktyg som är installerade och licensen. En registerkontroll kräver den stödda insamlingsvägen, och även då rapporterar den vad slutpunktsverktyget såg, inte att maskinen är den du litar på.

Så den praktiska frågan är snäv: på den här tunneln, med den här klienten och den här posture-agenten, vilket attribut kommer ifyllt och pålitligt? Om svaret är inget kommer en policy skriven mot det att matcha ingenting eller allt, och båda utfallen är sämre än kontolåset du undvek.

Tredje villkoret: avvisning, åtgärd eller snävare åtkomst?

Tre utfall är tillgängliga och de är inte utbytbara. Du kan avsluta sessionen, vilket tar bort åtkomsten helt; du kan sätta enheten i karantän i ett tillstånd där den bara når åtgärdsresurser; eller du kan låta sessionen stå och skära ner dess resurs-ACL till de få saker enheten fortfarande behöver. DAP-sessionsåtgärder och resurs-ACL:er svarar på olika frågor, så valet handlar om hur mycket följdskada personen ska behöva bära.

För en borttappad eller stulen bärbar dator är svaret oftast avslutning. För en maskin som misslyckades med en posture-kontroll är åtgärd vänligare och lika effektivt.

Bestäm vad som händer när bevisen saknas

Standardvägen betyder mer än regeln du skrev för det goda fallet. Om det förväntade attributet aldrig anländer eftersom posture-agenten är trasig kan en policy som kräver det falla igenom till en standard som släpper in sessionen. Läs standardresultatet och testa fallet utan bevis medvetet, för det är det tillstånd en angripare som tar bort agenten kommer att visa upp.

Flera matchande DAP-poster aggregeras i stället för att avgöras av enkel första-träff-ordning, och deras ACL-prioritet är en separat mekanism från postvalet. Läs beskrivningen av aggregering i guiden innan du antar att den strängare posten vinner.

Hantera sessioner som redan finns och testa sedan båda enheterna

Att ändra en tillträdesregel eller återkalla en legitimation beskriver inte vad som händer med en session som redan är upprättad och passerar trafik. Om omedelbar borttagning är kravet, följ implementeringens stödda procedur för sessionsavslut och omvärdering i stället för att vänta på nästa återanslutning. Detta är steget som oftast hoppas över vid en incident, och det är skillnaden mellan en policy och ett utfall.

Testa med samma tillåtna användare på båda maskinerna under en godkänd kontroll. Den blockerade enheten ska få exakt det avsedda avslaget eller åtgärdsresultatet, och den andra ska bara behålla sina auktoriserade resurser. Det verifierar enhetsgränsen utan att återkalla personens andra godkända åtkomst.

Om du inte kan göra de två resultaten olika är problemet bevisen, inte policyn, och ingen regeljustering kommer att lösa det.