Tüm hesabı devre dışı bırakmadan VPN'den tek bir cihazı engelleme

Bir çalışan, iki dizüstü bilgisayar ve yalnızca biri erişimi kaybetmeli. Hesabı devre dışı bırakmak bariz koldur ama yanlış kapsamı cezalandırır; uç noktada kayıtlı bir profili silmek ise kontrol değil, öneridir. Karar üç koşula iner: VPN'in doğrulayabileceği bir cihaz kimliği var mı, bu belirli bağlantı onu gerçekten değerlendiriyor mu ve kişi yerine cihaza ne olmasını istiyorsunuz. Bu sırayla yanıtlayın, uygulama genellikle kendini seçer.

Birinci koşul: VPN'in doğrulayabileceği cihaz kanıtı var mı?

Kaynak adresi ofis NAT'ı arkasında paylaşılır ve mobil ağlarda değişir. Ana bilgisayar adı cihazın iddia ettiği şeydir, MAC adresi kolayca sahtelenir ve kayıt defteri değerini yerel haklara sahip her şey yazabilir. Bunların hiçbiri bir şey doğrulayana kadar kimlik değildir. Ayrıca kaydedilmiş bir cihaz kimlik bilgisi, örneğin o uç noktaya verilen bir sertifika, iptale kullanıcı hesabından daha dar bir hedef veren tek seçenektir.

Kimlik bilgisi yalnızca bağlantı onunla kimlik doğrular ve her denemede zinciri doğrularsa sayılır. Makinenin deposunda duran bir dosya hiçbir şeyi kanıtlamaz.

İkinci koşul: bu bağlantı onu değerlendiriyor mu?

Uç nokta nitelikleri evrensel değildir. Bir ASA'da Cisco'nun ASDM DAP kılavuzu kullanıcı AAA bilgisini uç nokta değerlendirme niteliklerinden ayırır ve hangi niteliklerin kullanılabilir olduğu kullanılan uzak erişim protokolüne, dağıtılan posture araçlarına ve lisansa bağlıdır. Kayıt defteri denetimi desteklenen toplama yolunu gerektirir ve o zaman bile uç nokta aracının ne gördüğünü bildirir, makinenin güvendiğiniz makine olduğunu değil.

Dolayısıyla pratik soru dar: bu tünelde, bu istemci ve bu posture aracısıyla hangi nitelik dolu ve güvenilir geliyor? Yanıt hiçbiri ise, ona karşı yazılmış bir politika hiçbir şeyle veya her şeyle eşleşir ve iki sonuç da kaçındığınız hesap kilidinden daha kötüdür.

Üçüncü koşul: ret, onarım mı yoksa daha dar erişim mi?

Üç sonuç vardır ve birbirlerinin yerine geçmezler. Oturumu sonlandırabilirsiniz, bu erişimi tamamen kaldırır; cihazı yalnızca onarım kaynaklarına ulaşabildiği bir duruma karantinaya alabilirsiniz; veya oturumu bırakıp kaynak ACL'sini o cihazın hâlâ ihtiyaç duyduğu birkaç şeye indirebilirsiniz. DAP oturum eylemleri ve kaynak ACL'leri farklı soruları yanıtlar, bu yüzden seçim kişinin ne kadar yan hasar üstlenmesi gerektiğiyle ilgilidir.

Kayıp veya çalıntı bir dizüstü bilgisayar için yanıt genellikle sonlandırmadır. Posture denetiminde başarısız olan bir makine için onarım daha naziktir ve aynı derecede etkilidir.

Kanıt yokken ne olacağına karar verin

Varsayılan yol, iyi durum için yazdığınız kuraldan daha önemlidir. Beklenen nitelik, posture aracısı bozuk olduğu için hiç gelmezse, onu zorunlu kılan politika oturumu kabul eden bir varsayılana düşebilir. Varsayılan sonucu okuyun ve kanıtın olmadığı durumu bilerek test edin, çünkü aracıyı kaldıran bir saldırganın sunacağı durum tam olarak budur.

Eşleşen birden çok DAP kaydı, basit ilk-eşleşme sırasıyla çözülmek yerine birleştirilir ve ACL öncelikleri kayıt seçiminden ayrı bir mekanizmadır. Daha katı kaydın kazandığını varsaymadan önce kılavuzdaki birleştirme açıklamasını okuyun.

Zaten var olan oturumları ele alın, sonra iki cihazı da test edin

Bir kabul kuralını değiştirmek veya kimlik bilgisini iptal etmek, hâlihazırda kurulmuş ve trafik geçiren bir oturuma ne olacağını açıklamaz. Derhal kaldırma gerekiyorsa, bir sonraki yeniden bağlanmayı beklemek yerine uygulamanın desteklediği oturum sonlandırma ve yeniden değerlendirme prosedürünü izleyin. Bu, bir olay sırasında en sık atlanan adımdır ve politika ile sonuç arasındaki farktır.

Onaylanmış bir denetim altında her iki makinede de aynı izinli kullanıcıyla test edin. Engellenen cihaz tam olarak amaçlanan reddi veya onarım sonucunu almalı, diğeri yalnızca yetkili kaynaklarını korumalıdır. Bu, kişinin diğer onaylı erişimini iptal etmeden cihaz sınırını doğrular.

Bu iki sonucu farklı hale getiremiyorsanız sorun politikada değil kanıttadır ve hiçbir kural ayarı bunu düzeltmez.