Заблокувати один пристрій у VPN, не вимикаючи весь обліковий запис

Один співробітник, два ноутбуки, і лише один із них має втратити доступ. Вимкнення облікового запису — очевидний важіль, але воно карає не той масштаб, тоді як видалення збереженого профілю на кінцевій точці — це пропозиція, а не контроль. Рішення зводиться до трьох умов: чи існує ідентичність пристрою, яку VPN може перевірити, чи оцінює її саме це з'єднання і що ви хочете зробити з пристроєм, а не з людиною. Дайте відповідь у цьому порядку, і застосування зазвичай вибирається само.

Перша умова: чи є докази пристрою, які VPN може перевірити?

Вихідна адреса спільна за офісним NAT і змінюється в мобільних мережах. Ім'я хоста — це те, що заявляє пристрій, MAC-адресу легко підробити, а значення в реєстрі може записати будь-що з локальними правами. Ніщо з цього не ідентичність, доки щось її не перевірить. Окремо зареєстровані облікові дані пристрою, наприклад сертифікат, виданий цій кінцевій точці, — єдиний варіант, що дає відкликанню ціль вужчу, ніж обліковий запис користувача.

Облікові дані зараховуються лише якщо з'єднання автентифікується ними і перевіряє ланцюг при кожній спробі. Файл, що лежить у сховищі машини, нічого не доводить.

Друга умова: чи оцінює це з'єднання їх?

Атрибути кінцевої точки не універсальні. На ASA посібник ASDM DAP від Cisco відокремлює інформацію AAA користувача від атрибутів оцінки кінцевої точки, і доступність атрибутів залежить від використовуваного протоколу віддаленого доступу, розгорнутих засобів posture і ліцензії. Перевірка реєстру потребує підтримуваного шляху збору, і навіть тоді вона повідомляє те, що побачив засіб кінцевої точки, а не те, що машина — та, якій ви довіряєте.

Тож практичне питання вузьке: у цьому тунелі, з цим клієнтом і цим агентом posture який атрибут надходить заповненим і надійним? Якщо відповідь — жоден, політика, написана проти нього, збігатиметься ні з чим або з усім, і обидва результати гірші за блокування облікового запису, якого ви уникали.

Третя умова: відмова, виправлення чи вужчий доступ?

Доступні три результати, і вони не взаємозамінні. Можна завершити сеанс, що повністю прибирає доступ; можна помістити пристрій у карантин у стан, де він досягає лише ресурсів виправлення; або можна залишити сеанс і урізати його ACL ресурсів до кількох речей, які пристрою ще потрібні. Дії сеансу DAP і ACL ресурсів відповідають на різні питання, тому вибір стосується того, скільки супутньої шкоди має зазнати людина.

Для втраченого або викраденого ноутбука відповідь зазвичай — завершення. Для машини, що не пройшла перевірку posture, виправлення м'якше і так само ефективне.

Вирішіть, що відбувається, коли доказів немає

Шлях за замовчуванням важливіший за правило, написане для доброго випадку. Якщо очікуваний атрибут так і не надходить, бо агент posture зламаний, політика, що його вимагає, може провалитися до значення за замовчуванням, яке допускає сеанс. Прочитайте результат за замовчуванням і навмисно перевірте випадок відсутності доказів, бо саме цей стан представить зловмисник, який видалить агента.

Кілька відповідних записів DAP агрегуються, а не вирішуються простим порядком першого збігу, і їхній пріоритет ACL — окремий механізм від вибору запису. Прочитайте опис агрегації в посібнику, перш ніж вважати, що перемагає суворіший запис.

Опрацюйте вже наявні сеанси, потім перевірте обидва пристрої

Зміна правила допуску або відкликання облікових даних не описує, що відбувається з уже встановленим сеансом, який пропускає трафік. Якщо потрібне негайне видалення, дотримуйтеся підтримуваної реалізацією процедури завершення та переоцінки сеансу, а не чекайте наступного перепідключення. Це крок, який найчастіше пропускають під час інциденту, і це різниця між політикою та результатом.

Перевірте з тим самим дозволеним користувачем на обох машинах у межах схваленої перевірки. Заблокований пристрій має отримати саме передбачену відмову або результат виправлення, а інший — зберегти лише свої авторизовані ресурси. Це перевіряє межу пристрою, не відкликаючи інший схвалений доступ людини.

Якщо ви не можете зробити ці два результати різними, проблема в доказах, а не в політиці, і жодне налаштування правил це не виправить.