Sürekli açık VPN: yolu, izni ve oturumu ayırmak

Bir tüneli günün her saati açık tutmak, meşru bir sürümü ve dikkatsiz bir sürümü olan bir tasarım kararıdır. Gün boyu merkezi bir uygulamaya ihtiyaç duyan ve geceleri yedekleme işi çalışan bir şubenin bir gerekçesi vardır. Otel odasında üç gün boyunca bağlı bırakılan bir dizüstü bilgisayar ise kazadır.

İkisi de aynı yeşil simgeyi gösterir ve tünelin ne kadar süredir açık olduğunu sorduğunuzda ikisi de aynı yanıtı verir. İlginç olan o sayı değildir. Önemli olan bağlantının neyi erişilebilir tuttuğu, kime ve onu gerçekte neyin bitirdiğidir.

Ayrı ayrı işleyen üç saat

İlk durum yoldur. Bir tünel ve politikaları bir hizmet kümesini erişilebilir kılar ve trafiği olmayan bir bağlantı bir sonraki istek için hazır kalabilir. Ne kadar süre hazır kaldığı bir uygulama kararıdır, evrensel bir zamanlayıcı değildir.

İkinci durum izindir. Kabul edilmiş bir kimlik veya cihaz o yolu kullanmak için yetkilendirilmiş olabilir. Bu yetki, bir rol değiştiğinde, bir cihaz kaybolduğunda veya ihlal şüphesi olduğunda değişmelidir ve paketlerin akıp akmadığından bağımsızdır.

Üçüncü durum uygulamanın kendi oturumudur. Bir veritabanı istemcisi, uzak masaüstü veya web uygulaması ayrı ayrı kimlik doğrular ve kendi durumunu tutar. Tüneli kapatmak bunlardan hiçbirini zorunlu olarak bitirmez.

Bunları tek bir soru olarak ele alan bir inceleme, sonunda boşta kalma zamanlayıcıları üzerine tartışmaya dönüşür. Üçü de kendi başına sağlıklı ya da bozuk olabilir ve birindeki bulgu diğerleri hakkında az şey söyler. Üç satırlık bir kontrol listesi tek bir zaman aşımı değeri tartışmasını yener. Her durum için yanıtı ayrı ayrı yazın.

Tünel bir yoldur, bir rozet değil

Kurulmuş bir tünel, iki uç nokta arasında korunan bir yol bulunduğunun kanıtıdır. Herhangi bir uç noktanın arkasındaki her sürecin diğer taraftaki her hizmete ulaşması gerektiğinin kanıtı değildir.

NIST zero trust rehberliği aynı noktayı diğer yönden söyler: ağ konumu örtük güven olarak ele alınmamalıdır. Bir site bağlantısı bir taşıma gerçeğidir ve bir ana bilgisayarın bir uygulamayı kullanma izni, kendi sahibi olan ayrı bir karardır.

Ele geçirilmiş bir eş, erişmesine izin verilen hizmetler üzerinden hâlâ zararlı eylemler deneyebilir. Filtreleme ve izleme belirli riskleri azaltır ancak uç nokta ihlalinin sonuçlarını silmez. Yol için tasarlayın, hizmet için yetkilendirin.

Kalıcı bir site bağlantısını gerekçelendirmek

Sürekli açık olanın savunulabilir sürümü amacını kesin olarak adlandırır. Hangi kaynaklar, hangi hedefler, hangi yön ve her girişin sahibi kim. Her şube ana bilgisayarına her merkezi alt ağa izin veren bir şube güvenlik duvarı, adlandırılmış bir amaç için bağlantı tutmamıştır; onu birinin sonradan akıl edeceği her şey için tutmuştur.

Eşin gereken güven düzeyini karşılayamadığı yerde sınırı daraltın veya düzenlemeyi değiştirin. Ara sıra elle bağlantı kesmeye güvenmek bir süreç kontrolüdür ve süreç kontrolleri tam da bir olay onları elverişsiz kıldığında en az güvenilir olur.

Gerekçeyi yapılandırmayla birlikte tutun. Yazılı amacı olan kalıcı bir istisna gözden geçirilebilir ve kaldırılabilir. Amacı olmayan ise varsayılan olarak kalıcı hale gelir.

Anahtarları yenilemek iptal değildir

Anahtarları bir programa göre değiştirmek korumanın yaşam döngüsünü sürdürür. Malzemeyi yeniler ve gizliliği korur. Bir uç noktanın hakkını ortadan kaldırmaz.

Uç noktanın hâlâ geçerli kimlik bilgileri ve onu kabul eden bir erişim politikası varsa, sonraki müzakere aynı izinli yolu geri getirir. Bu yüzden anahtarlar saatte bir döner ifadesi kayıp bir cihaza yanıt değildir: kayıp cihaz da döner, yeter ki kimliğine güvenilsin. Programı denetlemeden önce hakkı denetleyin. Döndürme hijyendir, iptal ise bir erişim kararıdır.

İptal, kendi gecikmesi olan başka bir mekanizmadır: iptal edilmiş bir sertifika, devre dışı bırakılmış bir hesap, değiştirilmiş bir grup, kaldırılmış bir ağ kuralı. Her biri farklı bir noktada yürürlüğe girer ve her biri hâlihazırda kurulmuş oturumlar için farklı davranır.

Hâlihazırda çalışanı bitirmek

Erişim kaldırıldığında uygulamanın kurulmuş oturumlara ne yaptığını sorun. Onları sonlandırabilir, süresinin dolmasını bekleyebilir veya arada belgelenmiş bir davranış uygulayabilir. Yarının kabul değişikliğinin bugünün uygulama bağlantısını kapatacağını varsaymayın.

Etkileşimli erişim için oturum sınırlarını ve hareketsizlik kurallarını yalnızca ağ ekibinin değil, kimlik ve VPN sahiplerinin eline verin. Bir site hizmeti için bakım, kesinti veya güvenlik olayının erişimi devre dışı bırakmak için kullandığı prosedürü belirleyin.

Sonra üç sonucu test edin: izinli iş hâlâ çalışıyor, ilgisiz bir hizmet reddediliyor ve kaldırma prosedürü belgelenmiş sonucu üretiyor. Sürekli açık bir tasarım, amacı, yetkisi ve kapatma yeteneği tamamen yazılıp denenmişse kabul edilebilir. Aksi halde, nedenini geride bırakmış bir kolaylıktır.