บล็อกอุปกรณ์เครื่องเดียวจาก VPN โดยไม่ปิดใช้งานบัญชีทั้งหมด

พนักงานหนึ่งคน แล็ปท็อปสองเครื่อง และมีเพียงเครื่องเดียวที่ต้องสูญเสียการเข้าถึง การปิดใช้งานบัญชีเป็นคันโยกที่ชัดเจนแต่ลงโทษผิดขอบเขต ขณะที่การลบโปรไฟล์ที่บันทึกไว้บนปลายทางเป็นเพียงข้อเสนอไม่ใช่การควบคุม การตัดสินใจขึ้นอยู่กับเงื่อนไขสามข้อ: มีตัวตนของอุปกรณ์ที่ VPN ตรวจสอบได้หรือไม่ การเชื่อมต่อนี้ประเมินตัวตนนั้นจริงหรือไม่ และคุณต้องการให้เกิดอะไรกับอุปกรณ์แทนที่จะเป็นกับบุคคล ตอบตามลำดับนั้นแล้วการบังคับใช้มักเลือกเอง

เงื่อนไขแรก: มีหลักฐานอุปกรณ์ที่ VPN ตรวจสอบได้หรือไม่

ที่อยู่ต้นทางถูกใช้ร่วมกันหลัง NAT ของสำนักงานและเปลี่ยนในเครือข่ายมือถือ ชื่อโฮสต์คือสิ่งที่อุปกรณ์อ้าง แอดเดรส MAC ปลอมแปลงได้ง่าย และค่าในรีจิสทรีนั้นอะไรก็ได้ที่มีสิทธิ์ในเครื่องสามารถเขียนได้ ไม่มีสิ่งใดเป็นตัวตนจนกว่าบางสิ่งจะตรวจสอบมัน ข้อมูลรับรองอุปกรณ์ที่ลงทะเบียนแยกต่างหาก เช่น ใบรับรองที่ออกให้ปลายทางนั้น เป็นทางเลือกเดียวที่ทำให้การเพิกถอนมีเป้าหมายแคบกว่าบัญชีผู้ใช้

ข้อมูลรับรองจะนับก็ต่อเมื่อการเชื่อมต่อตรวจสอบสิทธิ์ด้วยข้อมูลนั้นและตรวจสอบห่วงโซ่ทุกครั้งที่พยายาม ไฟล์ที่วางอยู่ในที่เก็บของเครื่องไม่ได้พิสูจน์อะไรเลย

เงื่อนไขที่สอง: การเชื่อมต่อนี้ประเมินมันหรือไม่

แอตทริบิวต์ของปลายทางไม่ใช่สากล บน ASA คู่มือ ASDM DAP ของ Cisco แยกข้อมูล AAA ของผู้ใช้ออกจากแอตทริบิวต์การประเมินปลายทาง และแอตทริบิวต์ใดมีให้ใช้ขึ้นอยู่กับโปรโตคอลการเข้าถึงระยะไกลที่ใช้ เครื่องมือ posture ที่ติดตั้ง และใบอนุญาต การตรวจสอบรีจิสทรีต้องใช้เส้นทางการเก็บรวบรวมที่รองรับ และแม้เช่นนั้นก็รายงานสิ่งที่เครื่องมือปลายทางเห็น ไม่ใช่เครื่องนั้นคือเครื่องที่คุณไว้วางใจ

ดังนั้นคำถามเชิงปฏิบัติจึงแคบ: บนอุโมงค์นี้ กับไคลเอนต์นี้และเอเจนต์ posture นี้ แอตทริบิวต์ใดมาถึงแบบมีค่าและน่าเชื่อถือ หากคำตอบคือไม่มีเลย นโยบายที่เขียนต่อต้านมันจะตรงกับไม่มีอะไรเลยหรือตรงกับทุกสิ่ง และทั้งสองผลลัพธ์ก็แย่กว่าการล็อกบัญชีที่คุณหลีกเลี่ยง

เงื่อนไขที่สาม: ปฏิเสธ แก้ไข หรือเข้าถึงแคบลง

มีสามผลลัพธ์ให้เลือกและใช้แทนกันไม่ได้ คุณสามารถยุติเซสชันซึ่งเป็นการถอดการเข้าถึงทั้งหมด หรือกักกันอุปกรณ์ไว้ในสภาวะที่เข้าถึงได้เฉพาะทรัพยากรสำหรับแก้ไข หรือปล่อยเซสชันไว้และตัด ACL ทรัพยากรลงเหลือเพียงไม่กี่สิ่งที่อุปกรณ์นั้นยังต้องการ การกระทำของเซสชัน DAP และ ACL ทรัพยากรตอบคำถามต่างกัน ดังนั้นการเลือกจึงเกี่ยวกับความเสียหายข้างเคียงที่บุคคลต้องรับ

สำหรับแล็ปท็อปที่หายหรือถูกขโมย คำตอบมักเป็นการยุติ สำหรับเครื่องที่ตกการตรวจสอบ posture การแก้ไขอ่อนโยนกว่าและได้ผลเท่ากัน

ตัดสินใจว่าเกิดอะไรขึ้นเมื่อไม่มีหลักฐาน

เส้นทางค่าเริ่มต้นสำคัญกว่ากฎที่คุณเขียนไว้สำหรับกรณีที่ดี หากแอตทริบิวต์ที่คาดไว้ไม่เคยมาถึงเพราะเอเจนต์ posture เสีย นโยบายที่กำหนดให้ต้องมีอาจตกไปยังค่าเริ่มต้นที่ยอมรับเซสชัน อ่านผลลัพธ์ค่าเริ่มต้นและทดสอบกรณีไม่มีหลักฐานอย่างตั้งใจ เพราะนั่นคือสภาวะที่ผู้โจมตีซึ่งถอดเอเจนต์ออกจะนำเสนอ

ระเบียน DAP หลายรายการที่ตรงกันจะถูกรวมเข้าด้วยกันแทนที่จะแก้ด้วยลำดับการตรงกันครั้งแรกแบบง่าย และลำดับความสำคัญของ ACL เป็นกลไกแยกจากการเลือกระเบียน อ่านคำอธิบายการรวมในคู่มือก่อนสันนิษฐานว่าระเบียนที่เข้มงวดกว่าจะชนะ

จัดการเซสชันที่มีอยู่แล้ว แล้วทดสอบอุปกรณ์ทั้งสองเครื่อง

การเปลี่ยนกฎการรับเข้าใช้หรือการเพิกถอนข้อมูลรับรองไม่ได้อธิบายว่าเกิดอะไรขึ้นกับเซสชันที่สร้างไว้แล้วและกำลังรับส่งทราฟฟิก หากต้องการถอดออกทันที ให้ทำตามขั้นตอนการยุติเซสชันและการประเมินใหม่ที่ระบบรองรับแทนการรอการเชื่อมต่อครั้งถัดไป นี่คือขั้นตอนที่ถูกละเลยบ่อยที่สุดระหว่างเหตุการณ์ และเป็นความแตกต่างระหว่างนโยบายกับผลลัพธ์

ทดสอบด้วยผู้ใช้ที่ได้รับอนุญาตคนเดียวกันบนทั้งสองเครื่องภายใต้การตรวจสอบที่อนุมัติ อุปกรณ์ที่ถูกบล็อกควรได้รับการปฏิเสธหรือผลการแก้ไขตามที่ตั้งใจไว้ และอีกเครื่องควรเก็บไว้เพียงทรัพยากรที่ได้รับอนุญาตเท่านั้น นี่คือการตรวจสอบขอบเขตอุปกรณ์โดยไม่เพิกถอนการเข้าถึงอื่นที่ได้รับอนุมัติของบุคคลนั้น

หากคุณทำให้สองผลลัพธ์นั้นแตกต่างกันไม่ได้ ปัญหาอยู่ที่หลักฐานไม่ใช่นโยบาย และการปรับกฎไม่ว่าจะมากเพียงใดก็แก้ไม่ได้