VPN-доступ клієнтів: дайте привілейованій роботі власний пристрій

У профілі з’єднання написано Production, тунель піднімається, і кожне вікно на робочому столі тепер може дістатися до систем клієнта. Ніщо в цій послідовності не відокремило привілейований сеанс від сусідньої вкладки браузера. Профіль VPN — це ім’я плюс набір маршрутів; межа, яка вас справді цікавить, будується з ідентичності пристрою, контрольованого середовища виконання та шляху для облікових даних. Ці три забезпечуються в різних місцях, тому додавання одного й пропускання інших дає проєкт, який виглядає відповідним вимогам і не є таким.

Назва профілю — не межа

Клієнт застосовує маршрути й налаштування DNS, коли тунель піднімається, і все, що потім працює на цій машині, успадковує обидва.

Назва у спадному списку змінює те, що розпізнає оператор, а не те, що дозволяє операційна система.

Ідентичність пристрою — це те, що шлюз може перевірити

Шлюз, який підтримує сертифікати пристроїв або перевірки стану, автентифікує і машину, і людину. Саме цей рівень може відмовити в з’єднанні з некерованого ноутбука ще до того, як хтось уведe пароль. Він також дає щось конкретне для відкликання, коли пристрій втрачено. Копіювання одного сертифіката на три машини усуває саме цю властивість, тому життєвий цикл сертифіката належить до угоди, а не до спільної папки.

Клієнт вирішує, які з цих засобів контролю вимагає його політика, а віртуальна машина, побудована постачальником, може взагалі не пройти перевірку стану.

Де межа віртуальної машини протікає

Віртуальна машина тримає інструменти клієнта й стан мережі разом, і це справді корисно. Але вона залежить від свого хоста та гіпервізора, а кілька зручностей перетинають межу: спільні папки, інтеграція буфера обміну, агенти облікових даних і доступ до керування на рівні хоста. Привілейований гість на хості щоденного користування не є незалежно надійним, бо хост може спостерігати за тим, що робить гість. Ставтеся до віртуальної машини як до засобу контролю, що зменшує експозицію, а не як до окремого домену безпеки.

Виділений фізичний пристрій усуває залежність від хоста й додає натомість обов’язок обслуговування.

Облікові дані та шляхи передавання

Використовуйте окремі, відкличні ідентичності для кожного інженера й кожного клієнта та тримайте їх поза особистими профілями браузера й історією чатів. Облікові дані, які ділить уся команда, не можна чисто віднести до когось, змінити чи відкликати. Визначте шлях передавання для інструментів, файлів і діагностичного виводу до першого сеансу, бо саме спонтанне переміщення файлів є тим способом, у який межа тихо перестає бути межею. Якщо треба дістатися двох клієнтів одночасно, спершу отримайте схвалення розділення мережі та ідентичності.

Ніколи не з’єднуйте дві мережі клієнтів через одну робочу станцію лише тому, що того дня це було зручно.

Угода, яка робить це повторюваним

Напишіть короткий запис для кожного клієнта і зберігайте його там, де обидві сторони зможуть його знайти. У ньому мають бути названі схвалений пристрій або віддалене середовище та той, хто його обслуговує, дозволені ідентичності, системи й операції, до яких вони можуть дістатися, шлях передавання та звичайний спосіб завершення сеансу.

П’ять рядків, які хтось переглядає, коли людина приходить або йде, кращі за політику, яку ніхто не може застосувати:

• Схвалений пристрій або віддалене середовище з названим власником обслуговування.
• Окремі ідентичності користувача й пристрою, дозволені для підтримки.
• Системи й операції, до яких ці ідентичності можуть дістатися.
• Дозволений шлях для інструментів, файлів і діагностичного виводу.
• Процес завершення сеансу та уповноважена аварійна альтернатива.

Аварійний доступ без переміщення облікових даних

Коли засіб контролю блокує термінове виправлення, шляхом є процес винятку, а не другий ноутбук із тими самими обліковими даними. Схвалений виняток фіксує, хто його дозволив, що було послаблено і коли він закінчується. Переміщення облікових даних на машину щоденного користування змінює межу в найгірший можливий момент, і зазвичай вона залишається зміненою після цього. Аварійний шлях заслуговує на тренування, поки нічого не зламано.

Потім завершіть сеанс так, як сказано в угоді, і підтвердьте, що доступ справді припинився.