Hindi ba humaharang ang pagsusuri ng kalagayan ng device sa VPN? Subaybayan muna ang ulat

Kung ang laptop na tumigil sa pag-update ng mga signature ng antivirus ilang linggo na ang nakalipas ay nakakapagbukas pa rin ng iyong internal na app, bihira ang dokumento ng patakaran ang mali. Tatlong magkakahiwalay na sistema ang dapat magkasundo bago tanggihan ang access: may sumusukat sa endpoint, may nagpapalit ng sukat na iyon sa hatol na payagan o tanggihan, at may talagang nagtatapon ng trapiko. Kapag ang di-pagsunod na device ay nakapasok pa rin, eksaktong isa sa mga kawing na iyon ang wala o nagtitiwala sa ebidensyang hindi dapat. Ang mga pagsusuri sa ibaba ay sumusunod sa ganoong pagkakasunod-sunod, at bawat isa ay may hintuan.

Ang pagharang ang huling hakbang, hindi ang una

Iba ang sinasagot ng authentication at ng kalagayan ng device. Ang matagumpay na pag-login ay nagpapatunay na may credential na iniharap; wala itong sinasabi tungkol sa software na tumatakbo sa makina na nagharap nito. Ang agwat na ito ang dahilan kung bakit ang kinopyang profile ng kliyente ay makapagdadala ng sesyong mukhang malusog sa isang host na hindi malusog.

May bokabularyo na ang trabaho sa pagsunod ng endpoint para sa kadena na ito. Hinahati ng modelong sanggunian ng NEA sa RFC 5209 ang gawain sa kolektor, hakbang ng pagtatasa at punto ng pagpapatupad, at malinaw nitong sinasabi na ang kliyenteng nagsisinungaling tungkol sa sariling kalagayan ay nasa labas ng modelo. Mas mahalaga ang paalala na iyon kaysa sa diagram: hindi ginagawang katotohanan ng pinagkakatiwalaang module ng plataporma ang sariling iniulat na sukat.

Panatilihing tapat ang kolektor tungkol sa saklaw. Dapat nitong iulat ang mga katangiang pinangalanan ng iyong patakaran, sa device na humihingi ng access, at kaunti pa. Ang inventory agent na naglilista ng bawat naka-install na pakete ay ibang kasangkapan kaysa sa kolektor ng kalagayan, at ang pagkakaiba ay problema sa pag-iimbak at sa katumpakan nang sabay. Kung ang ulat ay hindi maikakawing sa isang pagkakakilanlan ng device, nanghuhula ang tagatasa kung aling makina ang pinayagan nito.

Ang dashboard na nagpapakita ng pulang kalagayan ay hindi kontrol. Itanong kung ano pa ang naaabot ng tinanggihang user: ang wiki, ang file share, ang port ng database? Kailangan ng pagwawasto ng isang makitid na ibabaw, at ang lahat ng iba ay nasa likod ng pagharang.

Basahin ang ulat bago ang tuntunin

Magsimula sa pinagmulan sa halip na sa berdeng tsek ng kliyente. Sa Windows, ang lokal na sukat ay nagmumula sa Defender o sa produktong nagrehistro sa Security Center, at pareho ay nababasa nang walang console ng vendor:

Get-MpComputerStatus | Select-Object AMServiceEnabled, RealTimeProtectionEnabled, AntivirusSignatureLastUpdated
Get-CimInstance -Namespace root/SecurityCenter2 -ClassName AntiVirusProduct | Select-Object displayName, productState

Nagbabalik ang ikalawang utos ng integer na tinatawag na productState. Mahinang dokumentado ang mga bit nito at magkaiba ang pagbabalot ng mga vendor sa mga bandila ng pagpapagana at pagiging napapanahon, kaya tiyakin ito sa halip na suriin. Ang mga pakete ng third party ay nag-iiwan din ng entry sa Security Center pagkatapos ng uninstall, at nag-uulat ito tungkol sa software na wala na sa disk.

Ang edad ang patlang na nilalaktawan ng mga tao. Ang timestamp ng signature ay may kahulugan lamang kumpara sa orasan ng makinang gumagawa ng pagtatasa, kaya gawin itong agwat sa halip na tantiyahin sa mata:

$sig = (Get-MpComputerStatus).AntivirusSignatureLastUpdated
[int](New-TimeSpan -Start $sig -End (Get-Date)).TotalHours

Ngayon ay may isang bilang ang patakaran na babasahin. Kung sinasabi ng iyong tuntunin na 72 oras, iyon ang bilang na ginagamit nito, at ang laptop na natulog ng isang linggo ay bumabagsak nang walang sinumang nagpapaliwanag ng label. Isulat ang hangganan sa tabi ng utos, dahil nagkakahiwalay silang dalawa kapag pinalitan ang kasangkapan sa endpoint.

Gawing nakasulat na hatol ang bawat kalagayan ng device

Karamihan ng pagtatalo tungkol sa kalagayan ay tungkol talaga sa hindi kilalang hilera. Magpasya tungkol dito bago ang unang insidente, sa tabelang nagpangalan sa ebidensya, sa hatol at sa may-ari, upang walang mag-imbento sa console ng gateway.

Sa pinakamababang hilera nagkakaiba ang mga produkto. May gateway na tumatanggi sa koneksyon at nagpapaliwanag kung bakit; may nagpapataas ng tunnel at naglalapat ng limitadong patakaran; kakaunti ang bumabalik sa huling kilalang mabuting ulat. Ang unang dalawa lamang ang maipagtatanggol, at sulit subukan kung alin ang ginagawa ng sa iyo.

Panatilihing magkahiwalay na linya ang pagkakakilanlan at pahintulot. Ang laptop na pumapasa sa bawat pagsubok ng kalagayan ay nangangailangan pa rin ng tamang pahintulot ng tao para sa app, at ang sertipiko ng device ay nagpapatunay ng paghawak ng susi, hindi ng kalagayan ng filesystem. Ang pagdurog ng tatlo sa isang boolean ay paraan ng pagkuha ng account ng helpdesk ng permanenteng access sa produksyon.

Suriin ang daan ng pagpapatupad sa isang kahilingan, hindi sa dashboard

Ang pagpapatupad ay katangian ng isang kahilingan, kaya sukatin ito sa isang kahilingan. Maglagay ng di-pagsunod na makina sa tunnel at gawin ang tawag na gagawin ng totoong user:

curl -sS -o /dev/null -w '%{http_code}
' --max-time 5 https://app.internal.example/health

Ang 200 mula sa device na dapat harangin ay nangangahulugang hindi kailanman umabot ang desisyon sa daan ng datos. Dalawang karaniwang dahilan: ang patakaran ay nakakabit sa grupong hindi kailanman sinalihan ng test account, o naaabot ang app sa rutang hindi pag-aari ng VPN.

Suriin muna ang palagay sa routing. Kung ang panloob na pangalan ay nagreresolba sa address na naaabot na ng kliyente sa lokal na LAN, walang kaugnayan ang tunnel at walang patakarang mairerepaso. Ihambing ang address na iyon sa rutang itinutulak ng gateway. Sa OpenVPN, ang patakaran kada kliyente ay nasa mga file na naka-key sa karaniwang pangalan, kaya madaling siyasatin:

ls /etc/openvpn/ccd/
cat /etc/openvpn/ccd/laptop-17

Ang file na naglalaman ng disable ay pinuputol nang lubusan ang kliyenteng iyon, samantalang pinapakipot ng linyang push "route ..." ang naaabot nito. Pareho silang pagpapatupad, at parehong nakikita ng sinumang nagde-debug ng ulat.

Subukan ang apat na kaso sa isang test account

Ang huling pagsusuri ay maliit na matrix, hindi masayang daan. Patakbuhin ang isang test account sa apat na kalagayan: kasalukuyan, nag-expire na signature, naka-disable ang proteksyon, hindi naka-install ang agent. Para sa bawat isa, itala ang hatol sa log ng pagtatasa, ang HTTP status na ibinabalik ng app, at kung nag-load ang pahina ng pagwawasto.

foreach ($case in 'current', 'stale', 'disabled', 'absent') {
  Get-MpComputerStatus | Select-Object AMServiceEnabled, AntivirusSignatureLastUpdated
  curl.exe -sS -o NUL -w "%{http_code}
" --max-time 5 https://app.internal.example/health
}

Dalawang detalye ang madaling makaligtaan. Una ang replay: ang ulat na nakuha habang malusog ang makina ay hindi dapat tanggapin para sa susunod na sesyon sa parehong device, kaya maghanap ng timestamp na nakatali sa kasalukuyang koneksyon. Pagkatapos ang pagtanggal: ang pag-uninstall ng agent ay dapat magbigay ng parehong pagtanggi gaya ng lumang ulat, hindi malinis na pagpasa, at ito ang kaso na pinakamadalas na hindi kailanman nasusubukan.

Kapag tumugma ang matrix sa talahanayan, ibigay ang tatlong bagay sa sinumang magpapatakbo ng gateway sa susunod: ang mga utos, ang hangganan at ang apat na inaasahang resulta. Ang pag-turn-over na iyon ang tunay na deliverable, dahil ang disenyo ng kalagayang nabubuhay lamang sa dokumento ng patakaran ay lumilihis sa unang pagkakataong binago ng kasangkapan sa endpoint ang patlang ng pag-uulat nito.