Đề xuất một thiết bị truy cập từ xa mà chủ sở hữu mạng có thể phê duyệt

Một thiết bị truy cập từ xa thay đổi ranh giới mạng của khách hàng ngay cả khi nó quay số ra ngoài và không cần bất kỳ chuyển tiếp cổng vào nào. Chính hướng ra ngoài khiến nó dễ cài đặt và cũng khiến nó dễ bị bỏ qua. Hãy trình bày nó như một yêu cầu thiết kế truy cập trước khi nó đi vào mạng. Trình bày nó như một việc không cần phải nhắc tới chính là cách một thành công kỹ thuật biến thành một vấn đề hợp đồng.

Hãy giả định chủ sở hữu mạng sẽ hỏi bốn câu: cái gì, ai, đến đâu, và chúng ta hoàn tác thế nào.

Xin tài nguyên, không xin mạng con

Mô tả công việc bằng đúng thuật ngữ chủ sở hữu dùng: người nào cần dịch vụ nào, trên thiết bị nào, trong bao lâu. Một yêu cầu giới hạn ở một ứng dụng trên một máy chủ thì dễ phê duyệt. Một yêu cầu cho cả một mạng con là yêu cầu sắp xếp lại phân đoạn của người khác.

Khách hàng có thể đã vận hành một VPN được phê duyệt, một cổng máy tính để bàn từ xa hoặc một kênh hỗ trợ được quản lý đáp ứng nhu cầu. Hãy kiểm tra điều đó trước, vì tái sử dụng một đường dẫn sẵn có thường là câu trả lời rẻ nhất cho cả hai bên. Nếu không phù hợp, hãy nói chính xác vì sao. Sự so sánh đó là phần mạnh nhất của đề xuất.

Nếu thực sự cần một thiết bị, hãy mang theo chủ sở hữu, nguồn phần mềm, quy trình cập nhật và điểm lắp đặt dự kiến.

Cho thấy kết nối và nơi sự tin cậy kết thúc

Vẽ thiết bị, người dùng từ xa, bất kỳ môi giới hay chuyển tiếp nào và tài nguyên được bảo vệ. Đánh dấu nơi mã hóa kết thúc và ai quản trị từng đầu cuối. Một phiên ra ngoài vẫn đưa vào một đường điều khiển mới, và chính trên sơ đồ điều đó trở nên hữu hình. Nói rằng lưu lượng được mã hóa trả lời một câu hỏi về bí mật và không trả lời câu hỏi nào về cấp quyền.

Nêu rõ chế độ: chuyển tiếp gói tin, proxy ứng dụng hoặc một máy tính để bàn bị phơi ra. Mỗi chế độ có hệ quả khác nhau về định tuyến và an ninh máy chủ, và mỗi chế độ hỏng theo cách khác nhau khi thiết bị bị xâm phạm.

Giữ các mạng khách hàng không liên quan và giao diện quản trị của chính thiết bị ngoài phạm vi được phê duyệt.

Tách danh tính người dùng khỏi danh tính thiết bị

Đăng ký người dùng, danh tính thiết bị, xác thực đa yếu tố và đăng nhập ứng dụng là bốn biện pháp kiểm soát khác nhau, và đề xuất nên nêu tên từng biện pháp. Thông tin đăng nhập chia sẻ là lối tắt phổ biến, và chúng khiến chủ sở hữu không thể thu hồi một người mà không làm gián đoạn mọi người. Đăng nhập nên ở lại với ứng dụng. Thiết bị xác thực một kết nối; dịch vụ quyết định kết nối đó được làm gì.

Kiến trúc không tin cậy của NIST hữu ích ở đây vì nó coi việc truy cập tài nguyên là một quyết định rõ ràng thay vì hệ quả của vị trí mạng.

Thống nhất việc khôi phục và gỡ bỏ trước khi lắp đặt

Chủ sở hữu phải có khả năng tắt truy cập ngay lập tức thông qua một biện pháp kiểm soát do chính họ vận hành, không phải qua một cuộc gọi cho bạn. Hãy ghi lại việc thu hồi thông tin đăng nhập, gỡ bỏ thiết bị, trách nhiệm cập nhật và ngày hết hạn hoặc ngày rà soát. Giữ một đường khôi phục cục bộ không phụ thuộc vào kênh từ xa mới. Một thiết bị mà không ai có thể gỡ bỏ nếu thiếu nhà cung cấp là một sự phụ thuộc vĩnh viễn được ngụy trang thành tiện lợi.

Giữ hồ sơ ở mức tương xứng: danh tính được phê duyệt, phạm vi truy cập, thay đổi đáng kể và sự cố liên quan.

Thu thập lịch sử duyệt web không liên quan để chứng minh thiết bị tồn tại không phải là bằng chứng vận hành tốt, và nó tạo ra một nghĩa vụ mà chủ sở hữu chưa từng yêu cầu.

Một phê duyệt thành công trông như thế nào

Hãy nghiệm thu thiết kế cùng với chủ sở hữu với một dịch vụ được phép và một tài nguyên phải tiếp tục bị từ chối. Nửa thứ hai đó là phần người ta bỏ qua, và nó là phần duy nhất chứng minh ranh giới nằm đúng nơi sơ đồ nói. Hãy kiểm thử việc thu hồi theo cùng cách, trước khi thiết bị mang công việc thật. Nếu bị từ chối phê duyệt, hãy dùng phương án thay thế đã được khách hàng cho phép hoặc làm việc tại chỗ.

Một kết nối hoạt động không phải là giấy phép để tạo ra đường truy cập.

Hãy ghi phê duyệt kèm phạm vi và ngày hết hạn, và trao một bản cho chủ sở hữu. Người tiếp theo chạm vào mạng đó sẽ đọc bản ghi, không phải ký ức của bạn về cuộc trò chuyện.