VPN-åtkomst för kunder: ge privilegierat arbete sin egen enhet

Anslutningsprofilen säger Produktion, tunneln kommer upp och varje fönster på skrivbordet kan nu nå kundens system. Inget i den sekvensen skilde den privilegierade sessionen från fliken intill. En VPN-profil är ett namn plus en uppsättning rutter; gränsen du faktiskt bryr dig om byggs av enhetsidentitet, en kontrollerad körmiljö och en väg för inloggningsuppgifter. Dessa tre upprätthålls på olika ställen, och därför ger det en design som ser compliant ut och inte är det när man lägger till en och hoppar över de andra.

Ett profilnamn är inte en gräns

Klienten tillämpar rutter och DNS-konfiguration när tunneln kommer upp, och allt som sedan körs på den maskinen ärver båda.

Ett namn i en listruta ändrar vad en operatör känner igen, inte vad operativsystemet tillåter.

Enhetsidentitet är vad gatewayen kan kontrollera

En gateway som stöder enhetscertifikat eller statuskontroller autentiserar både maskinen och personen. Det är det lager som kan neka en anslutning från en ohanterad laptop innan någon skriver ett lösenord. Det ger dig också något konkret att återkalla när en enhet tappas bort. Att kopiera ett certifikat till tre maskiner tar bort just den egenskapen, och därför hör certifikatets livscykel hemma i avtalet och inte i en delad mapp.

Kunden avgör vilka av dessa kontroller policyn kräver, och en virtuell maskin som en leverantör byggt uppfyller kanske inte alls en statuskontroll.

Var en VM-gräns läcker

En virtuell maskin håller kundens verktyg och nätverkstillståndet tillsammans, och det är verkligen användbart. Den är också beroende av sin värd och av hypervisorn, och flera bekvämligheter korsar gränsen: delade mappar, urklippsintegrering, agenter för inloggningsuppgifter och administration på värdnivå. En privilegierad gäst på en värd för dagligt bruk är inte självständigt pålitlig, eftersom värden kan observera vad gästen gör. Behandla den virtuella maskinen som en kontroll som minskar exponeringen, inte som en separat säkerhetsdomän.

En dedikerad fysisk enhet tar bort värdberoendet och lägger i stället till en underhållsskyldighet.

Inloggningsuppgifter och överföringsvägar

Använd individuella, återkallbara identiteter per ingenjör och per kund, och håll dem utanför personliga webbläsarprofiler och chatthistorik. Inloggningsuppgifter som ett helt team delar kan inte tillskrivas, roteras eller återkallas rent. Bestäm överföringsvägen för verktyg, filer och diagnostikutdata före den första sessionen, eftersom ad hoc-flytt av filer är hur en gräns tyst slutar vara en gräns. Om två kunder måste nås samtidigt, få först godkännande för separeringen av nät och identitet.

Överbrygga aldrig två kundnät genom en enda arbetsstation bara för att det var bekvämt den eftermiddagen.

Avtalet som gör det repeterbart

Skriv en kort anteckning per kund och förvara den där båda parter kan hitta den. Den ska namnge den godkända enheten eller fjärrmiljön och vem som underhåller den, de tillåtna identiteterna, systemen och åtgärderna de får nå, överföringsvägen och det vanliga sättet en session avslutas.

Fem rader som någon går igenom när en person kommer eller går slår en policy som ingen kan tillämpa:

• Godkänd enhet eller fjärrmiljö, med en namngiven underhållsägare.
• Individuella användar- och enhetsidentiteter som är tillåtna för support.
• System och åtgärder som dessa identiteter får nå.
• Tillåten väg för verktyg, filer och diagnostikutdata.
• Process för att avsluta sessionen och ett auktoriserat nödalternativ.

Nödåtkomst utan att flytta inloggningsuppgifter

När en kontroll blockerar en akut reparation är vägen undantagsprocessen, inte en andra laptop med samma inloggningsuppgifter. Ett godkänt undantag registrerar vem som auktoriserade det, vad som lättades och när det slutar. Att flytta en inloggningsuppgift till en maskin för dagligt bruk ändrar gränsen i värsta möjliga stund, och den brukar förbli ändrad efteråt. Nödvägen förtjänar en övning medan inget är trasigt.

Avsluta sedan sessionen som avtalet säger, och bekräfta att åtkomsten faktiskt upphörde.