Запропонувати пристрій віддаленого доступу, який власник мережі може схвалити

Пристрій віддаленого доступу змінює межу мережі клієнта, навіть коли він підключається назовні й не потребує жодного вхідного переспрямування портів. Саме напрямок назовні робить його простим в установленні та простим у тому, щоб його не помітили. Подайте його як заявку на проєктування доступу, перш ніж він потрапить у мережу. Подавати його як щось, про що не потрібно було згадувати, — це шлях, яким технічний успіх перетворюється на проблему договору.

Виходьте з того, що власник мережі поставить чотири питання: що, хто, як далеко і як ми це відкотимо.

Просіть ресурс, а не підмережу

Опишіть роботу термінами, які використовує власник: якій людині потрібен який сервіс, на якому пристрої та на який час. Заявку, обмежену одним застосунком на одному хості, легко схвалити. Заявка на підмережу — це заявка на перевлаштування чиєїсь сегментації.

Можливо, клієнт уже має схвалений VPN, шлюз віддаленого робочого столу або керований канал підтримки, який закриває потребу. Перевірте це насамперед, бо повторне використання наявного шляху зазвичай найдешевша відповідь для обох сторін. Якщо він не підходить, скажіть точно чому. Це порівняння — найсильніша частина пропозиції.

Якщо пристрій справді потрібен, принесіть його власника, джерело програмного забезпечення, процес оновлення та передбачене місце встановлення.

Покажіть з’єднання та те, де довіра закінчується

Намалюйте пристрій, віддаленого користувача, будь-якого посередника або ретранслятор і захищений ресурс. Позначте, де закінчується шифрування і хто адмініструє кожен кінець. Вихідна сесія все одно вводить новий шлях керування, і саме на схемі це стає видимим. Твердження, що трафік зашифровано, відповідає на питання конфіденційності й на жодне питання авторизації.

Укажіть режим явно: пересилання пакетів, проксі застосунків або відкритий робочий стіл. Кожен має різні наслідки для маршрутизації та безпеки хоста, і кожен відмовляє по-різному, коли пристрій скомпрометовано.

Тримайте незв’язані мережі клієнта та власний інтерфейс адміністрування пристрою поза схваленим обсягом.

Відокремте ідентичність користувача від ідентичності пристрою

Реєстрація користувачів, ідентичність пристрою, багатофакторна автентифікація та вхід у застосунок — це чотири різні засоби контролю, і пропозиція має назвати кожен. Спільні облікові дані — звичайний короткий шлях, і вони залишають власника нездатним відкликати одну людину, не порушивши роботу всіх. Вхід має залишатися в застосунку. Пристрій автентифікує з’єднання; служба вирішує, що цьому з’єднанню дозволено робити.

Архітектура нульової довіри NIST корисна тут, бо розглядає доступ до ресурсів як явне рішення, а не як наслідок розташування в мережі.

Домовтеся про відновлення та видалення до встановлення

Власник повинен мати змогу швидко вимкнути доступ через засіб керування, яким він сам розпоряджається, а не через дзвінок вам. Запишіть відкликання облікових даних, видалення пристрою, відповідальність за оновлення та дату завершення або перегляду. Збережіть локальний шлях відновлення, який не залежить від нового віддаленого каналу. Пристрій, який ніхто не може видалити без постачальника, — це постійна залежність, замаскована під зручність.

Ведіть записи співмірно: схвалені ідентичності, обсяг доступу, значущі зміни та відповідні збої.

Збирання незв’язаної історії перегляду для підтвердження існування пристрою не є доказом доброї роботи й створює зобов’язання, якого власник ніколи не просив.

Як виглядає успішне схвалення

Прийміть проєкт разом із власником з однією дозволеною службою та одним ресурсом, який має залишатися забороненим. Ця друга половина — та частина, яку люди пропускають, і єдина частина, що доводить: межа стоїть там, де каже схема. Перевірте відкликання так само, перш ніж пристрій понесе реальну роботу. Якщо у схваленні відмовлено, використайте схвалену альтернативу клієнта або виконайте роботу локально.

Робоче з’єднання — не дозвіл створювати шлях доступу.

Запишіть схвалення з його обсягом і строком і передайте копію власникові. Наступна людина, яка торкнеться цієї мережі, прочитає запис, а не вашу пам’ять про розмову.