Quyền truy cập VPN của khách hàng: cấp thiết bị riêng cho công việc đặc quyền

Hồ sơ kết nối ghi Production, đường hầm được dựng lên, và mọi cửa sổ trên màn hình đều có thể chạm tới hệ thống của khách hàng. Không có gì trong trình tự đó tách phiên đặc quyền khỏi thẻ trình duyệt bên cạnh. Hồ sơ VPN là một cái tên cộng với một tập tuyến; ranh giới mà bạn thực sự quan tâm được dựng từ danh tính thiết bị, môi trường thực thi được kiểm soát và đường đi của thông tin xác thực. Ba thứ này được thực thi ở những nơi khác nhau, nên thêm một cái mà bỏ qua những cái kia sẽ tạo ra một thiết kế trông có vẻ tuân thủ mà không phải vậy.

Tên hồ sơ không phải là ranh giới

Máy khách áp dụng tuyến và cấu hình DNS khi đường hầm được dựng lên, và mọi thứ chạy trên máy đó sau đó đều thừa hưởng cả hai.

Một cái tên trong danh sách thả xuống thay đổi điều người vận hành nhận ra, không phải điều hệ điều hành cho phép.

Danh tính thiết bị là thứ cổng có thể kiểm tra

Một cổng hỗ trợ chứng chỉ thiết bị hoặc kiểm tra trạng thái sẽ xác thực cả máy lẫn người. Đó là lớp có thể từ chối kết nối từ một laptop không được quản lý trước khi ai đó gõ mật khẩu. Nó cũng cho bạn thứ cụ thể để thu hồi khi thiết bị mất. Sao chép một chứng chỉ sang ba máy sẽ loại bỏ đúng thuộc tính đó, nên vòng đời chứng chỉ thuộc về thỏa thuận chứ không phải một thư mục dùng chung.

Khách hàng quyết định chính sách của họ yêu cầu những kiểm soát nào, và một máy ảo do nhà cung cấp dựng có thể không đáp ứng được kiểm tra trạng thái nào cả.

Ranh giới máy ảo rò rỉ ở đâu

Một máy ảo giữ công cụ của khách hàng và trạng thái mạng lại với nhau, và điều đó thực sự hữu ích. Nhưng nó cũng phụ thuộc vào máy chủ của nó và hypervisor, và vài tiện ích vượt qua ranh giới: thư mục dùng chung, tích hợp clipboard, tác nhân thông tin xác thực và quyền quản trị ở cấp máy chủ. Một khách đặc quyền trên máy chủ dùng hằng ngày không đáng tin cậy một cách độc lập, vì máy chủ có thể quan sát việc khách làm. Hãy coi máy ảo là một kiểm soát giảm phơi nhiễm, không phải một miền bảo mật riêng.

Một thiết bị vật lý chuyên dụng loại bỏ sự phụ thuộc vào máy chủ và thay vào đó thêm nghĩa vụ bảo trì.

Thông tin xác thực và đường truyền

Dùng danh tính riêng, có thể thu hồi cho từng kỹ sư và từng khách hàng, và giữ chúng ngoài hồ sơ trình duyệt cá nhân và lịch sử trò chuyện. Thông tin xác thực mà cả nhóm chia sẻ không thể được quy cho ai, luân chuyển hay thu hồi một cách sạch sẽ. Hãy quyết định đường truyền cho công cụ, tệp và đầu ra chẩn đoán trước phiên đầu tiên, vì việc di chuyển tệp tùy tiện chính là cách một ranh giới lặng lẽ thôi là ranh giới. Nếu phải chạm tới hai khách hàng cùng lúc, hãy xin phê duyệt tách mạng và danh tính trước.

Đừng bao giờ bắc cầu hai mạng khách hàng qua một máy trạm chỉ vì chiều hôm đó thấy tiện.

Thỏa thuận khiến việc này lặp lại được

Viết một bản ghi ngắn cho mỗi khách hàng và giữ nó ở nơi cả hai bên đều tìm thấy. Bản ghi phải nêu thiết bị hoặc môi trường từ xa đã được phê duyệt và ai bảo trì nó, các danh tính được phép, hệ thống và thao tác chúng có thể chạm tới, đường truyền và cách thông thường để một phiên kết thúc.

Năm dòng mà ai đó xem lại khi một người gia nhập hoặc rời đi còn hơn một chính sách không ai áp dụng được:

• Thiết bị hoặc môi trường từ xa đã được phê duyệt, kèm chủ sở hữu bảo trì được nêu tên.
• Danh tính người dùng và thiết bị riêng được phép cho hỗ trợ.
• Hệ thống và thao tác mà những danh tính đó có thể chạm tới.
• Đường truyền được phép cho công cụ, tệp và đầu ra chẩn đoán.
• Quy trình kết thúc phiên và một phương án khẩn cấp được ủy quyền.

Truy cập khẩn cấp mà không di chuyển thông tin xác thực

Khi một kiểm soát chặn một sửa chữa khẩn cấp, con đường là quy trình ngoại lệ, không phải chiếc laptop thứ hai mang cùng thông tin xác thực. Một ngoại lệ được phê duyệt ghi lại ai đã ủy quyền, điều gì đã được nới lỏng và khi nào nó kết thúc. Di chuyển thông tin xác thực sang một máy dùng hằng ngày thay đổi ranh giới vào thời điểm tồi tệ nhất có thể, và thường nó vẫn giữ nguyên thay đổi sau đó. Con đường khẩn cấp đáng được diễn tập khi chưa có gì hỏng.

Sau đó kết thúc phiên theo đúng thỏa thuận, và xác nhận rằng quyền truy cập thực sự đã dừng.