Постійно ввімкнений VPN: відокремлюємо шлях, дозвіл і сеанс

Тримати тунель піднятим цілодобово — це проєктне рішення, у якого є виправданий і недбалий варіант. У філії, якій цілий день потрібна центральна програма і яка вночі робить резервну копію, є причина. Ноутбук, залишений підключеним у готельному номері на три дні, — це пригода.

Обидва показують той самий зелений значок, і обидва однаково відповідять на питання, скільки часу тунель піднятий. Цікаве не це число. Важливо те, що з'єднання тримає доступним, кому і що саме його завершує.

Три годинники, які йдуть окремо

Перший стан — шлях. Тунель і його політики роблять набір служб досяжним, а канал без трафіку може залишатися готовим до наступного запиту. Скільки часу він залишається готовим — рішення реалізації, а не універсальний таймер.

Другий стан — дозвіл. Прийнята ідентичність або пристрій може бути уповноважений користуватися цим шляхом. Це повноваження має змінюватися, коли змінюється роль, зникає пристрій або виникає підозра на компрометацію, і воно не залежить від того, чи течуть пакети.

Третій стан — власний сеанс програми. Клієнт бази даних, віддалений робочий стіл або вебпрограма проходять перевірку окремо й зберігають власний стан. Закриття тунелю не обов'язково завершує щось із цього.

Огляд, який вважає це одним питанням, зрештою сперечається про таймери простою. Кожен із трьох може бути справним або зламаним окремо, і знахідка в одному мало говорить про інших. Контрольний список із трьох рядків кращий за суперечку про одне значення тайм-ауту. Запишіть відповідь для кожного стану окремо.

Тунель — це шлях, а не значок

Установлений тунель — це доказ того, що між двома кінцевими точками існує захищений шлях. Це не доказ того, що кожен процес за будь-якою кінцевою точкою має досягати кожної служби на іншому боці.

Настанови NIST щодо zero trust кажуть те саме з іншого боку: мережеве розташування не слід вважати неявною довірою. Канал майданчика — це транспортний факт, а дозвіл одному вузлу користуватися однією програмою — окреме рішення зі своїм власником.

Скомпрометований вузол усе ще може намагатися вчиняти шкідливі дії через служби, до яких йому дозволено діставатися. Фільтрування й моніторинг зменшують конкретні ризики, не стираючи наслідків компрометації кінцевої точки. Проєктуйте під шлях, а дозволяйте під службу.

Обґрунтування постійного каналу майданчика

Захисний варіант постійного підключення точно називає свою мету. Які джерела, які призначення, який напрямок і хто володіє кожним записом. Міжмережевий екран філії, що дозволяє кожному вузлу філії доступ до кожної центральної підмережі, тримає канал не для названої мети; він тримає його для всього, що комусь спаде на думку пізніше.

Там, де вузол не може досягти потрібного рівня довіри, звузьте межу або змініть схему. Сподівання на рідкісне ручне від'єднання — це процедурний контроль, а процедурні контролі найменш надійні саме тоді, коли пригода робить їх незручними.

Тримайте обґрунтування разом із конфігурацією. Постійний виняток із записаною метою можна переглянути й скасувати. Виняток без мети стає постійним за замовчуванням.

Зміна ключів — не відкликання

Заміна ключів за розкладом підтримує життєвий цикл захисту. Вона освіжає матеріал і зберігає конфіденційність. Вона не позбавляє кінцеву точку її права.

Якщо кінцева точка все ще має чинні облікові дані та політику доступу, яка її приймає, наступне узгодження відновить той самий дозволений шлях. Тому твердження, що ключі обертаються щогодини, не є відповіддю на загублений пристрій: загублений пристрій теж обертається, доки його ідентичність вважається довіреною. Перевірте право перш ніж перевіряти розклад. Обертання — це гігієна, а відкликання — рішення про доступ.

Відкликання — інший механізм із власною затримкою: відкликаний сертифікат, вимкнений обліковий запис, змінена група, вилучено мережеве правило. Кожен діє в іншій точці, і кожен поводиться по-різному із сеансами, які вже встановлені.

Як завершити те, що вже працює

Запитайте, що реалізація робить зі встановленими сеансами, коли доступ знімають. Вона може їх завершити, дочекатися закінчення строку або застосувати якусь описану поведінку між цим. Не припускайте, що завтрашня зміна допуску закриє сьогоднішнє з'єднання програми.

Для інтерактивного доступу передайте обмеження сеансів і правила неактивності власникам ідентичності та VPN, а не лише мережевій команді. Для служби майданчика задайте процедуру, за якою обслуговування, збій або інцидент безпеки вимикають доступ.

Потім перевірте три результати: дозволена робота досі працює, стороння служба відхиляється, а процедура вилучення дає описаний результат. Проєкт постійного підключення прийнятний, коли його мета, повноваження й можливість вимкнення всі записані та відпрацьовані. Інакше це зручність, що пережила свою причину.