เสนออุปกรณ์เข้าถึงระยะไกลที่เจ้าของเครือข่ายอนุมัติได้

อุปกรณ์เข้าถึงระยะไกลเปลี่ยนขอบเขตเครือข่ายของลูกค้า แม้จะเชื่อมต่อออกไปด้านนอกและไม่ต้องมีการส่งต่อพอร์ตขาเข้าเลย ทิศทางออกไปด้านนอกคือสิ่งที่ทำให้ติดตั้งง่ายและทำให้มองข้ามได้ง่าย นำเสนอเป็นคำขอออกแบบการเข้าถึงก่อนที่อุปกรณ์จะเข้าสู่เครือข่าย การนำเสนอว่าเป็นเรื่องที่ไม่จำเป็นต้องกล่าวถึงคือหนทางที่ความสำเร็จทางเทคนิคกลายเป็นปัญหาด้านสัญญา

สมมติว่าเจ้าของเครือข่ายจะถามสี่คำถาม คือ อะไร ใคร ไกลแค่ไหน และเราจะย้อนกลับได้อย่างไร

ขอทรัพยากร ไม่ใช่ซับเน็ต

อธิบายงานด้วยถ้อยคำที่เจ้าของใช้ คือ คนใดต้องการบริการใด บนอุปกรณ์ใด นานเท่าใด คำขอที่จำกัดอยู่ที่แอปพลิเคชันเดียวบนโฮสต์เดียวอนุมัติได้ง่าย คำขอสำหรับซับเน็ตคือคำขอให้จัดเรียงการแบ่งส่วนของคนอื่นใหม่

ลูกค้าอาจมี VPN ที่ได้รับอนุมัติ เกตเวย์เดสก์ท็อประยะไกล หรือช่องทางสนับสนุนที่มีผู้ดูแลซึ่งตอบโจทย์อยู่แล้ว ตรวจสอบสิ่งนั้นก่อน เพราะการใช้เส้นทางที่มีอยู่เดิมมักเป็นคำตอบที่ถูกที่สุดสำหรับทั้งสองฝ่าย หากไม่เหมาะสม จงบอกเหตุผลอย่างชัดเจน การเปรียบเทียบนั้นคือส่วนที่แข็งแกร่งที่สุดของข้อเสนอ

หากจำเป็นต้องใช้อุปกรณ์จริง ๆ ให้นำเจ้าของอุปกรณ์ แหล่งที่มาของซอฟต์แวร์ กระบวนการอัปเดต และจุดติดตั้งที่ตั้งใจไว้มาด้วย

แสดงการเชื่อมต่อและจุดที่ความไว้วางใจสิ้นสุด

วาดอุปกรณ์ ผู้ใช้ระยะไกล ตัวกลางหรือรีเลย์ใด ๆ และทรัพยากรที่ได้รับการป้องกัน ระบุจุดที่การเข้ารหัสสิ้นสุดและผู้ดูแลแต่ละปลายทาง เซสชันขาออกยังคงนำเส้นทางการควบคุมใหม่เข้ามา และแผนภาพคือที่ที่สิ่งนั้นปรากฏขึ้น การกล่าวว่าทราฟฟิกถูกเข้ารหัสตอบคำถามเรื่องความลับและไม่ตอบคำถามเรื่องการอนุญาตใด ๆ

ระบุโหมดอย่างชัดเจน คือ การส่งต่อแพ็กเก็ต พร็อกซีแอปพลิเคชัน หรือเดสก์ท็อปที่ถูกเปิดเผย แต่ละแบบมีผลต่อการกำหนดเส้นทางและความปลอดภัยของโฮสต์ต่างกัน และแต่ละแบบล้มเหลวต่างกันเมื่ออุปกรณ์ถูกโจมตี

เก็บเครือข่ายลูกค้าที่ไม่เกี่ยวข้องและอินเทอร์เฟซการดูแลของอุปกรณ์เองไว้นอกขอบเขตที่ได้รับอนุมัติ

แยกตัวตนของผู้ใช้ออกจากตัวตนของอุปกรณ์

การลงทะเบียนผู้ใช้ ตัวตนของอุปกรณ์ การยืนยันตัวตนหลายปัจจัย และการเข้าสู่ระบบแอปพลิเคชันคือการควบคุมที่แตกต่างกันสี่อย่าง และข้อเสนอควรระบุชื่อแต่ละอย่าง ข้อมูลรับรองที่ใช้ร่วมกันคือทางลัดที่พบบ่อย และทำให้เจ้าของไม่สามารถเพิกถอนบุคคลหนึ่งโดยไม่รบกวนทุกคนได้ การเข้าสู่ระบบควรอยู่กับแอปพลิเคชัน อุปกรณ์ยืนยันการเชื่อมต่อ บริการเป็นผู้ตัดสินว่าการเชื่อมต่อนั้นทำอะไรได้

สถาปัตยกรรมความไว้วางใจเป็นศูนย์ของ NIST มีประโยชน์ตรงนี้ เพราะถือว่าการเข้าถึงทรัพยากรเป็นการตัดสินใจที่ชัดเจน ไม่ใช่ผลจากตำแหน่งในเครือข่าย

ตกลงเรื่องการกู้คืนและการถอดออกก่อนการติดตั้ง

เจ้าของควรปิดการเข้าถึงได้ทันทีผ่านการควบคุมที่เจ้าของดำเนินการเอง ไม่ใช่ผ่านการโทรหาคุณ จดบันทึกการเพิกถอนข้อมูลรับรอง การถอดอุปกรณ์ ความรับผิดชอบในการอัปเดต และวันหมดอายุหรือวันทบทวน รักษาเส้นทางการกู้คืนภายในไว้ซึ่งไม่ขึ้นกับช่องทางระยะไกลใหม่ อุปกรณ์ที่ไม่มีใครถอดออกได้หากไม่มีผู้ขายคือการพึ่งพาถาวรที่ปลอมตัวเป็นความสะดวก

เก็บบันทึกอย่างได้สัดส่วน คือ ตัวตนที่ได้รับอนุมัติ ขอบเขตการเข้าถึง การเปลี่ยนแปลงสำคัญ และความล้มเหลวที่เกี่ยวข้อง

การเก็บประวัติการท่องเว็บที่ไม่เกี่ยวข้องเพื่อพิสูจน์ว่าอุปกรณ์มีอยู่จริงไม่ใช่หลักฐานของการทำงานที่ดี และสร้างภาระผูกพันที่เจ้าของไม่เคยขอ

การอนุมัติที่ประสบความสำเร็จมีหน้าตาอย่างไร

ยอมรับการออกแบบร่วมกับเจ้าของด้วยบริการที่ได้รับอนุญาตหนึ่งอย่างและทรัพยากรหนึ่งอย่างที่ต้องคงถูกปฏิเสธ ครึ่งหลังนั้นคือส่วนที่คนมักข้ามไป และเป็นส่วนเดียวที่พิสูจน์ว่าขอบเขตอยู่ตรงที่แผนภาพบอก ทดสอบการเพิกถอนในลักษณะเดียวกันก่อนที่อุปกรณ์จะรับงานจริง หากการอนุมัติถูกระงับ ให้ใช้ทางเลือกที่ได้รับอนุญาตของลูกค้าหรือทำงานในเครื่อง

การเชื่อมต่อที่ใช้งานได้ไม่ใช่การอนุญาตให้สร้างเส้นทางการเข้าถึง

จดบันทึกการอนุมัติพร้อมขอบเขตและวันหมดอายุ และมอบสำเนาให้เจ้าของ คนถัดไปที่แตะเครือข่ายนั้นจะอ่านบันทึก ไม่ใช่ความทรงจำของคุณเกี่ยวกับการสนทนา