Kontrola postavení zařízení pro Remote Access: Co potřebují IT týmy vědět

V kybernetické bezpečnosti slouží kontroly stavu zařízení k určení, zda koncový bod splňuje definované bezpečnostní požadavky, jak před, tak během přístupu k firemním zdrojům. Pro systémové administrátory spravující vzdálené připojení je úspěšná autentizace pouze částí rozhodnutí. Tyto kontroly skutečně vyvolávají zásadní autentizační otázky, od „Je to správný uživatel?“ po „Je toto zařízení dostatečně důvěryhodné pro připojení?“, prostřednictvím podmínek připojení a skutečné identity zařízení.

Remote pracovníci se mohou autentizovat pomocí platných přihlašovacích údajů, přičemž se mohou připojovat z nepřipraveného, neřízeného nebo kompromitovaného počítače, což činí ověření identity nezbytným, ale zjevně nedostatečným. Kontroly stavu zařízení pomáhají IT týmům posoudit samotný koncový bod a rozhodnout, zda by měl být přístup povolen, omezen nebo zamítnut.

Co je kontrola postury zařízení pro vzdálený přístup?

Kontrola postoje zařízení vyhodnocuje bezpečnostní stav notebooku, pracovního stanice nebo jiného koncového zařízení vůči předem definovaným požadavkům. Výsledek slouží k určení, zda by tomu zařízení mělo být povoleno přistupovat k aplikacím, desktopům nebo jiným firemním zdrojům.

Hodnocení postavení může zkoumat položky jako verzi operačního systému, stav šifrování, ochranu koncových bodů a identitu zařízení. Například Microsoft popisuje politiky souladu zařízení jako pravidla používaná k určení, zda spravovaná zařízení splňují požadované konfigurace, než bude jejich stav shody použit pro rozhodování o přístupu.

Toto se výrazně liší od ověřování uživatelů. Správné přihlašovací údaje prokazují identitu osoby, která se připojuje. Kontrola postoje vyhodnocuje systém, ze kterého jsou tyto přihlašovací údaje předkládány, a zda splňuje bezpečnostní požadavky organizace.

Pro prostředí protokolu Remote Desktop je tento rozdíl velmi důležitý. Například: i když je účet autorizován, připojení z nezabezpečeného koncového bodu může vystavit vzdálené zdroje krádeži přihlašovacích údajů, malwaru nebo neoprávněnému přístupu. Náš průvodce k hodnocení bezpečnosti počítače vystaveného prostřednictvím Remote Desktop vyšetřuje postavení koncových bodů spolu s vystavením sítě a kontrolami účtů.

Jaká zařízení by měla IT oddělení zkontrolovat?

Nelze mít jednu univerzální politiku postavení zařízení, která by vyhovovala všem. Signály by měly být vybírány podle chráněných zdrojů, správy a vlastnictví zařízení a úrovně rizika spojeného s uživatelem, aplikací nebo daty.

Stav operačního systému a aktualizací

Endpoint běžící na zastaralém operačním systému nebo chybějícími bezpečnostními aktualizacemi představuje větší riziko než plně opravená spravovaná pracovní stanice. Minimální verze operačního systému a požadavky na opravy tedy poskytují užitečné základní kontroly.

Dodatečně lze politiky přizpůsobit typu požadovaného přístupu: přísnější pro administrativní účely s vyšším rizikem než pro běžné uživatele aplikací nebo ty, kteří přistupují k jedné konkrétní aplikaci. Cílem není shromáždit každý možný atribut koncového bodu, ale identifikovat podmínky, které podstatně ovlivňují, zda by měl být přístup důvěryhodný.

Ochrana koncových bodů, firewall a šifrování

Silné kontroly zdraví zařízení vyhodnotí, zda je aktivní požadovaná ochrana koncových bodů a zda jsou povoleny kontroly, jako je vhodná konfigurace místního firewallu a odpovídající šifrování disku. Platformy pro detekci a reakci na koncové body (EDR), platformy pro správu koncových bodů a podobné mohou poskytnout další informace o detekcích malwaru, úrovních hrozeb nebo souladu s konfigurací.

Tyto signály jsou obzvlášť důležité pro notebooky pracující mimo firemní síť. Platné uživatelské jméno a heslo neodhalují, zda byla ochrana koncových bodů deaktivována, nebo zda zařízení stále správně hlásí organizaci bezpečnostním nástrojům.

Identita zařízení, certifikáty a stav správy

Kromě zdraví zařízení je třeba se zabývat dalšími otázkami: IT týmy mohou také potřebovat přesněji určit, které zařízení se připojuje.

Certifikáty zařízení, záznamy o registraci, identita hostitele a stav správy mohou pomoci rozlišit známé firemní koncové body od neznámých nebo nespravovaných počítačů. V prostředí Bring Your Own Device (BYOD) to vytváří důležité rozlišení mezi „dostatečně zdravým“ a „autorizovaným“: zabezpečený osobní notebook se automaticky nestává schváleným firemním zařízením.

Kdy by měla být zkontrolována poloha zařízení?

Nejzřejmější doba pro spuštění protokolu ověřování zařízení je před začátkem přístupu. Koncový bod poskytuje relevantní informace, které jsou poté vyhodnoceny ve vztahu k požadavkům, a připojení je následně povoleno nebo blokováno podle toho.

Nicméně, postoj se může během dlouhotrvající relace změnit. Proto pro některá prostředí jeden soubor kontrol nestačí. Zařízení může přestat splňovat požadavky, ochrana koncových bodů může přestat fungovat nebo bezpečnostní telemetrie může identifikovat novou hrozbu. Aby se zmírnil tento fakt, že relace může potenciálně překročit původně oprávněný přístup, vyspělejší architektury proto podporují periodické přehodnocení. Mohou také nastavit rozhodnutí o přístupu na základě událostí, spíše než aby považovaly úspěšné přihlášení za trvalý důkaz důvěry.

Odpovídající frekvence závisí na riziku. Administrativní účty a citlivé aplikace mohou ospravedlnit mnohem častější ověřování než zdroje s nízkým rizikem. Důležitým principem je, že informace použité k rozhodnutí o přístupu by neměly zůstat důvěryhodné na neurčito, zejména pokud se koncový bod vyvíjí.

Co by se mělo stát, když zařízení neprojde kontrolou postury?

Selhání nemusí vždy vést ke stejné reakci. IT týmy by měly předem rozhodnout, která selhání vyžadují okamžité zablokování a která lze opravit a tedy vyžadují nápravu.

Praktická politika může:

• odmítnout přístup při kritických selháních, jako je chybějící ochrana koncových bodů nebo pokud je zařízení považováno za kompromitované;
• omezení přístupu, když je stav zařízení nejasný nebo nelze ověřit;
• informujte uživatele, která podmínka selhala;
• přesměrovat koncový bod prostřednictvím aktualizace, opravy nebo nápravy;
• zaznamenává protokoly o neúspěšném hodnocení k vyšetření; a
• o-testujte a znovu vyhodnoťte zařízení před obnovením normálního přístupu.

Odpověď by měla odpovídat riziku. Chybějící oprava nebo zastaralá verze může ospravedlnit nápravu, zatímco důkazy o aktivním kompromitaci by měly vyvolat izolaci a postupy reakce na incidenty.

TSplus Remote Support může v této fázi pomoci. Technici podpory mohou použít asistenci na dálku s přítomností nebo bez přítomnosti k diagnostice a odstranění problémů s koncovými body, když je vyžadován administrativní zásah.

Jak zapadají kontroly postavení zařízení do MFA a Zero Trust?

Postura zařízení, vícefaktorová autentizace (MFA) a Zero Trust se zabývají souvisejícími, ale různými otázkami.

MFA se ptá, zda osoba žádající o přístup může prokázat svou identitu prostřednictvím více než jednoho faktoru. Postura zařízení přidává, zda koncový bod, ze kterého se připojují, splňuje bezpečnostní požadavky. Oprávnění pak určují aplikace nebo systémy, ke kterým by konkrétní kombinace uživatele a zařízení měla mít povolený přístup.

NIST, evropská regulace a další průkopníci kybernetické bezpečnosti se zabývají Principy Zero Trust Uživatelská autentizace a zdraví zařízení a autorizace jsou samostatné funkce prováděné před navázáním nového připojení k vzdáleným zdrojům, které jsou někdy uživatelům samotným neviditelné.

Kontroly stavu zařízení jsou tedy jednou součástí vícestupňové strategie přístupu a rozhodně nejsou náhradou za MFA, oprávnění nebo ochranu na straně serveru. Pokračujte ve čtení zde pro naši ochranu Zero Trust napříč identitou, důvěrou zařízení, minimálními oprávněními a monitorováním.

Jak mohou IT týmy aplikovat principy postavení zařízení s TSplus?

Aplikace funkcí softwaru TSplus pro posílení kontrol zařízení

Nasazení TSplus je schopno kombinovat několik kontrol kolem rozhodnutí o přístupu, zatímco hlubší kontroly souladu koncových bodů zůstávají s určitými specializovanými nástroji navrženými k jejich provádění.

TSplus Remote Access poskytuje řízený přístup uživatelů k centralizovaným aplikacím a desktopům Windows. Přidání TSplus 2FA posiluje autentizaci uživatelů tím, že vyžaduje heslo a časově založený jednorázový ověřovací kód pro podporované metody připojení TSplus Remote Access.

TSplus Advanced Security přidává další ochrannou vrstvu. Jeho funkce Důvěryhodná zařízení může přiřadit uživatele k určeným názvům zařízení a odmítnout přihlášení z neplatných. To poskytuje přístupovou kontrolu s ohledem na zařízení. Další TSplus Advanced Security funkce stojí za prozkoumání v okrajových oblastech správy zařízení.

Další bezpečnostní opatření k implementaci

Další úroveň ochrany kompletního motoru postur by byla navíc k těmto. Měl bych posoudit stav záplat, šifrování disku, zdraví EDR nebo jiné signály souladu s koncovými body.

Sysadmini by měli také zohlednit omezení nasazení při navrhování svých politik. Důvěryhodná zařízení nejsou kompatibilní s připojeními HTML5 a mobilní zařízení mohou představovat další omezení identifikace názvů hostitelů. Tyto faktory jsou důležité při navrhování politik týkajících se webového nebo mobilního přístupu.

Hlubší informace o zdraví zařízení mohou tedy zůstat odpovědností správy Windows, EDR, správy koncových bodů nebo jiných nástrojů pro dodržování předpisů. TSplus pak může řídit, jak se ověření uživatelé dostanou k publikovaným zdrojům a chrání určité specifické bezpečnostní aspekty aplikačního serveru. Toto oddělení umožňuje IT týmům budovat vrstvenou bezpečnost, aniž by předpokládaly, že identita, zdraví koncových bodů a dodávka aplikací musí pocházet ze stejného systému.

Viditelnost sítě poskytovaná softwarem pro monitorování TSplus

TSplus Server Monitoring přidává viditelnost na straně infrastruktury sledováním výkonu serveru, aplikací a aktivity uživatelů. Neprovádí hodnocení stavu klientských zařízení, ale může doplnit přístupové kontroly provozním monitorováním, jakmile běží vzdálené pracovní zátěže. Naše dokumentace a náš průvodce k software pro monitorování vzdálené plochy a viditelnost relací poskytněte další podrobnosti. Také sledování (a blokování) IP prováděné TSplus Advanced Security doplňuje tuto viditelnost a ochranu.

Praktický kontrolní seznam polohy zařízení pro sysadminy

Politika postavení začínající s malým počtem kontrol, které mohou administrátoři důsledně prosazovat, bude jistě snazší na provoz. Pro prostředí vzdáleného přístupu orientované na Windows zvažte následující otázky:

1. Běží na koncovém bodě podporovaný a adekvátně opravený operační systém?
2. Je aktivní požadovaný antivirus, EDR nebo jiná potřebná ochrana koncových bodů?
3. Jsou základní nastavení firewallu a šifrování nakonfigurována v souladu s politikou společnosti?
4. Je koncový bod zaznamenán jako uznané nebo spravované zařízení?
5. Má endpoint přijatelný stav souladu nebo hrozby?
6. Je uživatel chráněn odpovídajícími autentizačními kontrolami?

Přesný práh by měl odrážet citlivost zdroje a lišit se v důsledku. Administrativní relace by měly obvykle čelit přísnějším požadavkům než běžný přístup k jedné publikované obchodní aplikaci.

Vytvořte důvěru zařízení do každého rozhodnutí o vzdáleném přístupu

Bezpečnost vzdáleného přístupu by neměla končit přijetím hesla. Kontroly stavu zařízení poskytují informace o stavu koncového bodu a identitě, které jsou nezbytné pro rozhodnutí o přístupu, a pomáhají správcům systémů rozlišovat legitimní přihlašovací údaje od zdroje připojení, který je skutečně bezpečné důvěřovat, a od potenciálního bezpečnostního rizika.

TSplus Remote Access, Advanced Security a 2FA mohou tvořit součást této vrstvené architektury, poskytující několik kontrol přístupu a identity kolem tohoto rozhodnutí. Mezitím nástroje pro správu koncových bodů a zabezpečení poskytují hlubší signály o zdraví zařízení a shodě, kde je to potřeba.

Konečným výsledkem je celkově lépe obhajitelný rozhodovací model, ve kterém může IT tým společně hodnotit uživatele, zařízení a zdroje podle jejich skutečného rizika, a to nejen jednou, ale na opakovaném základě.