การเข้าถึง VPN ของลูกค้า: ให้งานที่มีสิทธิ์สูงมีอุปกรณ์ของตัวเอง

โปรไฟล์การเชื่อมต่อระบุว่า Production อุโมงค์เชื่อมต่อขึ้นมา และทุกหน้าต่างบนเดสก์ท็อปก็สามารถเข้าถึงระบบของลูกค้าได้แล้ว ไม่มีสิ่งใดในลำดับนั้นแยกเซสชันที่มีสิทธิ์สูงออกจากแท็บเบราว์เซอร์ข้าง ๆ โปรไฟล์ VPN คือชื่อบวกกับชุดเส้นทาง ขอบเขตที่คุณสนใจจริง ๆ นั้นสร้างจากตัวตนของอุปกรณ์ สภาพแวดล้อมการทำงานที่ควบคุมได้ และเส้นทางของข้อมูลรับรอง ทั้งสามอย่างนี้ถูกบังคับใช้ในที่ต่างกัน การเพิ่มอย่างหนึ่งแล้วข้ามอย่างอื่นจึงได้ดีไซน์ที่ดูสอดคล้องแต่ไม่ได้เป็นเช่นนั้น

ชื่อโปรไฟล์ไม่ใช่ขอบเขต

ไคลเอนต์ใช้เส้นทางและการตั้งค่า DNS เมื่ออุโมงค์เชื่อมต่อขึ้นมา และทุกสิ่งที่ทำงานบนเครื่องนั้นหลังจากนั้นสืบทอดทั้งสองอย่าง

ชื่อในรายการแบบเลื่อนลงเปลี่ยนสิ่งที่ผู้ปฏิบัติงานจดจำ ไม่ใช่สิ่งที่ระบบปฏิบัติการอนุญาต

ตัวตนของอุปกรณ์คือสิ่งที่เกตเวย์ตรวจสอบได้

เกตเวย์ที่รองรับใบรับรองอุปกรณ์หรือการตรวจสอบสภาวะจะยืนยันทั้งเครื่องและบุคคล เลเยอร์นี้เองที่สามารถปฏิเสธการเชื่อมต่อจากแล็ปท็อปที่ไม่ได้จัดการก่อนที่ใครจะพิมพ์รหัสผ่าน นอกจากนี้ยังให้สิ่งที่จับต้องได้เพื่อเพิกถอนเมื่ออุปกรณ์สูญหาย การคัดลอกใบรับรองหนึ่งใบไปยังสามเครื่องจะลบคุณสมบัตินั้นออกไปพอดี วงจรชีวิตของใบรับรองจึงอยู่ในข้อตกลง ไม่ใช่ในโฟลเดอร์ที่แชร์

ลูกค้าเป็นผู้ตัดสินใจว่านโยบายของตนต้องการการควบคุมใด และเครื่องเสมือนที่ผู้จำหน่ายสร้างขึ้นอาจไม่ผ่านการตรวจสอบสภาวะเลย

ขอบเขตของเครื่องเสมือนรั่วที่ใด

เครื่องเสมือนเก็บเครื่องมือของลูกค้าและสภาวะเครือข่ายไว้ด้วยกัน และนั่นมีประโยชน์จริง แต่ก็ขึ้นอยู่กับโฮสต์และไฮเปอร์ไวเซอร์ด้วย และความสะดวกหลายอย่างก็ข้ามเส้น: โฟลเดอร์ที่แชร์ การผสานคลิปบอร์ด เอเจนต์ข้อมูลรับรอง และการเข้าถึงการจัดการระดับโฮสต์ แขกที่มีสิทธิ์สูงบนโฮสต์ที่ใช้ประจำวันไม่น่าเชื่อถือโดยลำพัง เพราะโฮสต์สามารถสังเกตสิ่งที่แขกทำได้ มองเครื่องเสมือนเป็นการควบคุมที่ลดการเปิดเผย ไม่ใช่โดเมนความปลอดภัยแยกต่างหาก

อุปกรณ์กายภาพเฉพาะจะลบการพึ่งพาโฮสต์และเพิ่มภาระการบำรุงรักษาแทน

ข้อมูลรับรองและเส้นทางการถ่ายโอน

ใช้ตัวตนส่วนบุคคลที่เพิกถอนได้สำหรับวิศวกรแต่ละคนและลูกค้าแต่ละราย และเก็บไว้ให้พ้นจากโปรไฟล์เบราว์เซอร์ส่วนตัวและประวัติแชท ข้อมูลรับรองที่ทั้งทีมใช้ร่วมกันไม่สามารถระบุที่มา หมุนเวียน หรือเพิกถอนได้อย่างสะอาด กำหนดเส้นทางการถ่ายโอนสำหรับเครื่องมือ ไฟล์ และผลลัพธ์การวินิจฉัยก่อนเซสชันแรก เพราะการย้ายไฟล์ตามอำเภอใจคือวิธีที่ขอบเขตหนึ่งเลิกเป็นขอบเขตอย่างเงียบ ๆ หากต้องเข้าถึงลูกค้าสองรายพร้อมกัน ให้ขออนุมัติการแยกเครือข่ายและตัวตนก่อน

อย่าเชื่อมเครือข่ายลูกค้าสองเครือข่ายผ่านเวิร์กสเตชันเดียวเพียงเพราะมันสะดวกในบ่ายวันนั้น

ข้อตกลงที่ทำให้ทำซ้ำได้

เขียนบันทึกสั้น ๆ ต่อลูกค้าหนึ่งราย และเก็บไว้ในที่ที่ทั้งสองฝ่ายหาเจอ ควรระบุอุปกรณ์หรือสภาพแวดล้อมระยะไกลที่ได้รับอนุมัติและผู้ดูแล ตัวตนที่ได้รับอนุญาต ระบบและปฏิบัติการที่เข้าถึงได้ เส้นทางการถ่ายโอน และวิธีปกติที่เซสชันสิ้นสุด

ห้าบรรทัดที่ใครสักคนตรวจทานเมื่อมีคนเข้างานหรือออกงาน ชนะนโยบายที่ไม่มีใครใช้ได้:

• อุปกรณ์หรือสภาพแวดล้อมระยะไกลที่ได้รับอนุมัติ พร้อมเจ้าของการบำรุงรักษาที่ระบุชื่อ
• ตัวตนผู้ใช้และอุปกรณ์ส่วนบุคคลที่ได้รับอนุญาตสำหรับการสนับสนุน
• ระบบและปฏิบัติการที่ตัวตนเหล่านั้นเข้าถึงได้
• เส้นทางที่อนุญาตสำหรับเครื่องมือ ไฟล์ และผลลัพธ์การวินิจฉัย
• กระบวนการสิ้นสุดเซสชันและทางเลือกฉุกเฉินที่ได้รับอนุญาต

การเข้าถึงฉุกเฉินโดยไม่ย้ายข้อมูลรับรอง

เมื่อการควบคุมขวางการซ่อมแซมเร่งด่วน ทางออกคือกระบวนการยกเว้น ไม่ใช่แล็ปท็อปเครื่องที่สองที่พกข้อมูลรับรองชุดเดิม การยกเว้นที่ได้รับอนุมัติจะบันทึกว่าใครอนุมัติ ผ่อนปรนอะไร และสิ้นสุดเมื่อใด การย้ายข้อมูลรับรองไปยังเครื่องที่ใช้ประจำวันเปลี่ยนขอบเขตในจังหวะที่แย่ที่สุด และมักจะยังคงเปลี่ยนอยู่หลังจากนั้น เส้นทางฉุกเฉินควรได้รับการซ้อมขณะที่ยังไม่มีอะไรเสีย

จากนั้นจบเซสชันตามที่ข้อตกลงระบุ และยืนยันว่าการเข้าถึงหยุดลงจริง