Chặn một thiết bị khỏi VPN mà không vô hiệu hóa toàn bộ tài khoản

Một nhân viên, hai máy tính xách tay, và chỉ một trong số đó phải mất quyền truy cập. Vô hiệu hóa tài khoản là đòn bẩy hiển nhiên nhưng nó trừng phạt sai phạm vi, trong khi xóa hồ sơ đã lưu trên thiết bị đầu cuối chỉ là đề xuất chứ không phải kiểm soát. Quyết định quy về ba điều kiện: có tồn tại danh tính thiết bị mà VPN thực sự kiểm tra được không, kết nối cụ thể này có thực sự đánh giá nó không, và bạn muốn điều gì xảy ra với thiết bị thay vì với con người. Hãy trả lời theo thứ tự đó và việc thực thi thường tự chọn.

Điều kiện thứ nhất: có bằng chứng thiết bị mà VPN kiểm tra được không?

Địa chỉ nguồn được chia sẻ sau NAT của văn phòng và thay đổi trên mạng di động. Tên máy chủ là điều thiết bị tự nhận, địa chỉ MAC bị giả mạo dễ dàng, và giá trị trong sổ đăng ký có thể bị bất cứ thứ gì có quyền cục bộ ghi vào. Không thứ nào trong số đó là danh tính cho đến khi có thứ gì kiểm tra nó. Thông tin xác thực thiết bị được đăng ký riêng, như chứng chỉ cấp cho điểm cuối đó, là lựa chọn duy nhất cho phép thu hồi nhắm vào mục tiêu hẹp hơn tài khoản người dùng.

Thông tin xác thực chỉ được tính nếu kết nối xác thực bằng nó và kiểm tra chuỗi ở mỗi lần thử. Một tệp nằm trong kho của máy không chứng minh được gì.

Điều kiện thứ hai: kết nối này có đánh giá nó không?

Các thuộc tính điểm cuối không phổ quát. Trên ASA, hướng dẫn ASDM DAP của Cisco tách thông tin AAA của người dùng khỏi các thuộc tính đánh giá điểm cuối, và thuộc tính nào có sẵn phụ thuộc vào giao thức truy cập từ xa đang dùng, công cụ posture đã triển khai và giấy phép. Kiểm tra sổ đăng ký cần đường thu thập được hỗ trợ, và ngay cả khi đó nó báo cáo điều công cụ điểm cuối đã thấy, không phải rằng chiếc máy là thứ bạn tin tưởng.

Vậy câu hỏi thực tế hẹp: trên đường hầm này, với máy khách này và tác nhân posture này, thuộc tính nào đến đầy đủ và đáng tin cậy? Nếu câu trả lời là không có, chính sách viết dựa vào nó sẽ khớp với không gì hoặc khớp với mọi thứ, và cả hai kết cục đều tệ hơn việc khóa tài khoản mà bạn đang tránh.

Điều kiện thứ ba: từ chối, khắc phục hay truy cập hẹp hơn?

Có ba kết cục và chúng không thể hoán đổi. Bạn có thể kết thúc phiên, điều này loại bỏ quyền truy cập hoàn toàn; bạn có thể cách ly thiết bị vào trạng thái chỉ tiếp cận được tài nguyên khắc phục; hoặc bạn có thể giữ phiên và cắt ACL tài nguyên của nó xuống còn vài thứ mà thiết bị đó vẫn cần. Hành động phiên DAP và ACL tài nguyên trả lời các câu hỏi khác nhau, nên lựa chọn là về mức thiệt hại phụ mà người đó phải chịu.

Với một máy tính xách tay bị mất hoặc bị đánh cắp, câu trả lời thường là kết thúc. Với một máy trượt kiểm tra posture, khắc phục nhẹ nhàng hơn và hiệu quả như nhau.

Quyết định điều gì xảy ra khi thiếu bằng chứng

Đường mặc định quan trọng hơn quy tắc bạn viết cho trường hợp tốt. Nếu thuộc tính mong đợi không bao giờ đến vì tác nhân posture bị hỏng, chính sách đòi hỏi nó có thể rơi vào mặc định chấp nhận phiên. Hãy đọc kết quả mặc định và cố ý kiểm tra trường hợp thiếu bằng chứng, vì đó chính là trạng thái mà kẻ tấn công gỡ bỏ tác nhân sẽ trình ra.

Nhiều bản ghi DAP khớp nhau được tổng hợp thay vì giải quyết bằng thứ tự khớp đầu tiên đơn giản, và ưu tiên ACL của chúng là cơ chế riêng biệt với việc chọn bản ghi. Hãy đọc phần mô tả tổng hợp trong hướng dẫn trước khi cho rằng bản ghi nghiêm ngặt hơn sẽ thắng.

Xử lý các phiên đã tồn tại, rồi kiểm tra cả hai thiết bị

Thay đổi quy tắc chấp nhận hoặc thu hồi thông tin xác thực không mô tả điều gì xảy ra với một phiên đã được thiết lập và đang truyền lưu lượng. Nếu yêu cầu là loại bỏ ngay lập tức, hãy theo quy trình kết thúc và đánh giá lại phiên mà bản triển khai hỗ trợ thay vì chờ lần kết nối lại tiếp theo. Đây là bước bị bỏ qua nhiều nhất trong một sự cố, và đó là khác biệt giữa chính sách và kết cục.

Kiểm tra với cùng người dùng được phép trên cả hai máy trong một lần kiểm tra đã được phê duyệt. Thiết bị bị chặn phải nhận đúng kết cục từ chối hoặc khắc phục như dự định, và thiết bị kia chỉ giữ tài nguyên được ủy quyền của nó. Điều đó xác minh ranh giới thiết bị mà không thu hồi quyền truy cập đã được phê duyệt khác của người đó.

Nếu bạn không thể làm cho hai kết cục đó khác nhau, vấn đề là bằng chứng chứ không phải chính sách, và không mức tinh chỉnh quy tắc nào sửa được.