I-block ang isang device sa VPN nang hindi idinidisable ang buong account

Isang empleyado, dalawang laptop, at isa lang sa kanila ang dapat mawalan ng access. Ang pag-disable ng account ay ang halatang lever pero pinaparusahan nito ang maling saklaw, habang ang pagtanggal ng naka-save na profile sa endpoint ay isang mungkahi at hindi kontrol. Ang desisyon ay bumaba sa tatlong kondisyon: kung may pagkakakilanlan ng device na masusuri ng VPN, kung aktuwal na sinusuri ito ng partikular na koneksyong ito, at kung ano ang gusto mong mangyari sa device sa halip na sa tao. Sagutin ang mga ito sa ganoong pagkakasunod-sunod at karaniwang pinipili ng pagpapatupad ang sarili nito.

Unang kondisyon: may ebidensya ba ng device na masusuri ng VPN?

Ang address ng pinagmulan ay ibinabahagi sa likod ng NAT ng opisina at nagbabago sa mga mobile network. Ang hostname ay ang sinasabi ng device, ang MAC address ay madaling pekein, at ang halaga sa registry ay maaaring isulat ng anumang may lokal na karapatan. Wala sa mga ito ang pagkakakilanlan hanggang may isang bagay na magpatunay nito. Ang hiwalay na nakarehistrong kredensyal ng device, tulad ng sertipikong inisyu para sa endpoint na iyon, ay ang tanging opsyon na nagbibigay sa pagbawi ng target na mas makitid kaysa sa account ng user.

Ang kredensyal ay binibilang lamang kung ang koneksyon ay nagpapatunay gamit ito at nagpapatunay ng chain sa bawat pagtatangka. Ang file na nakalagay sa imbakan ng makina ay walang pinapatunayan.

Ikalawang kondisyon: sinusuri ba ito ng koneksyong ito?

Ang mga attribute ng endpoint ay hindi pangkalahatan. Sa isang ASA, ang gabay ng ASDM DAP ng Cisco ay naghihiwalay ng impormasyon ng AAA ng user mula sa mga attribute ng pagtatasa ng endpoint, at kung aling mga attribute ang magagamit ay depende sa protocol ng remote access na ginagamit, sa mga tool na posture na naka-deploy at sa lisensya. Ang pagsusuri ng registry ay nangangailangan ng sinusuportahang landas ng pagkolekta, at kahit noon ay iniuulat nito ang nakita ng tool ng endpoint, hindi na ang makina ang pinagkakatiwalaan mo.

Kaya ang praktikal na tanong ay makitid: sa tunnel na ito, sa kliyenteng ito at sa ahente ng posture na ito, aling attribute ang dumarating na puno at mapagkakatiwalaan? Kung ang sagot ay wala, ang patakarang isinulat laban dito ay tutugma sa wala o tutugma sa lahat, at parehong mas masama ang resulta kaysa sa lock ng account na iniiwasan mo.

Ikatlong kondisyon: pagtanggi, pag-aayos, o mas makitid na access?

May tatlong resultang magagamit at hindi sila mapagpapalit. Maaari mong tapusin ang session, na nag-aalis ng access nang lubusan; maaari mong ilagay ang device sa quarantine sa isang estado kung saan naaabot lamang nito ang mga resource sa pag-aayos; o maaari mong iwanan ang session at putulin ang ACL ng resource nito sa kakaunting bagay na kailangan pa ng device na iyon. Ang mga aksyon ng session ng DAP at ang mga ACL ng resource ay sumasagot sa magkaibang tanong, kaya ang pagpili ay tungkol sa kung gaano karaming collateral damage ang dapat pasanin ng tao.

Para sa nawala o ninakaw na laptop, ang sagot ay karaniwang pagtatapos. Para sa makinang bumagsak sa pagsusuri ng posture, ang pag-aayos ay mas magiliw at kasing epektibo.

Magpasya kung ano ang mangyayari kapag wala ang ebidensya

Ang default na landas ay mas mahalaga kaysa sa patakarang isinulat mo para sa magandang kaso. Kung hindi kailanman dumarating ang inaasahang attribute dahil sira ang ahente ng posture, ang patakarang nangangailangan nito ay maaaring mahulog sa default na tumatanggap sa session. Basahin ang default na resulta at sadyang subukan ang kaso na walang ebidensya, dahil iyon ang estadong ipapakita ng umaatake na nagtatanggal ng ahente.

Maraming tugmang rekord ng DAP ay pinagsasama-sama sa halip na lutasin ng simpleng unang-tugmang pagkakasunod-sunod, at ang kanilang priyoridad ng ACL ay hiwalay na mekanismo sa pagpili ng rekord. Basahin ang paglalarawan ng pagsasama-sama sa gabay bago ipagpalagay na nananalo ang mas mahigpit na rekord.

Pangasiwaan ang mga session na umiiral na, pagkatapos ay subukan ang dalawang device

Ang pagbabago ng patakaran sa pagpasok o pagbawi ng kredensyal ay hindi naglalarawan kung ano ang mangyayari sa session na naitatag na at nagpapadala ng trapiko. Kung kailangan ang agad na pagtanggal, sundin ang sinusuportahang pamamaraan ng pagtatapos at muling pagsusuri ng session sa halip na maghintay sa susunod na muling pagkonekta. Ito ang hakbang na pinakamadalas laktawan sa isang insidente, at ito ang pagkakaiba ng patakaran at resulta.

Subukan gamit ang parehong pinahihintulutang user sa dalawang makina sa ilalim ng aprubadong pagsusuri. Ang na-block na device ay dapat tumanggap ng eksaktong nilalayong pagtanggi o resulta ng pag-aayos, at ang isa ay dapat magpanatili lamang ng mga awtorisadong resource nito. Pinapatunayan nito ang hangganan ng device nang hindi binabawi ang isa pang aprubadong access ng tao.

Kung hindi mo magawang magkaiba ang dalawang resultang iyon, ang problema ay ang ebidensya, hindi ang patakaran, at walang pagsasaayos ng patakaran ang makakatulong.