Enhedens stillingstjek for Remote Access: Hvad IT-teams skal vide

I cybersikkerhed tjener enhedens holdningskontroller til at bestemme, om en endpoint opfylder definerede sikkerhedskrav, både før og mens adgangen til virksomhedens ressourcer finder sted. For systemadministratorer, der administrerer fjernforbindelser, er vellykket autentificering kun en del af beslutningen. Faktisk rejser sådanne kontroller essentielle autentificeringsspørgsmål, fra "Er dette den rigtige bruger?" til "Er denne enhed pålidelig nok til at oprette forbindelse?", via forbindelsesbetingelser og faktisk enhedsidentitet.

Fjernarbejdere kan autentificere sig med gyldige legitimationsoplysninger, men kan være tilsluttet fra en upatcheret, uadministreret eller kompromitteret computer, hvilket gør identitetsverifikation nødvendig, men tydeligvis utilstrækkelig. Enhedens tilstandskontroller hjælper IT-teams med at vurdere selve endpointet og beslutte, om adgangen skal gives, begrænses eller nægtes.

Hvad er en enhedsstatuskontrol for Remote Access?

En enhedsstatuskontrol vurderer sikkerhedstilstanden for en bærbar computer, arbejdsstation eller anden endpoint i forhold til foruddefinerede krav. Resultatet bruges til at afgøre, om den enhed skal have lov til at få adgang til applikationer, skriveborde eller andre virksomhedens ressourcer.

En vurdering af stilling kan undersøge elementer som operativsystemversion, krypteringsstatus, endpointbeskyttelse og enhedsidentitet. For eksempel beskriver Microsoft enhedsoverholdelsespolitikker som reglerne bruges til at bestemme, om administrerede enheder opfylder de krævede konfigurationer, før deres overholdelsesstatus kan bruges til adgangsbeslutninger.

Dette adskiller sig markant fra brugerautentifikation. Korrekte legitimationsoplysninger beviser identiteten af den person, der opretter forbindelse. En holdningskontrol vurderer systemet, hvorfra disse legitimationsoplysninger præsenteres, og om det opfylder organisationens sikkerhedskrav.

For Remote Desktop Protocol-miljøer er denne skelnen meget vigtig. For eksempel: selvom det er autoriseret, er en konto, der opretter forbindelse fra et usikkert endpoint, tilbøjelig til at udsætte fjernressourcer for legitimationsoplysninger, malware eller uautoriseret adgang. Vores guide til vurdering af sikkerheden af en computer, der er udsat gennem Remote Desktop undersøger endpoint-holdning sammen med netværkseksponering og konto-kontroller.

Hvilke enhedssignaler skal IT-teams tjekke?

Der kan ikke være en enkelt universel enhedsposturpolitik, der passer til alle. Signaler bør vælges i henhold til de ressourcer, der beskyttes, enhedshåndtering og ejerskab samt det risikoniveau, der er forbundet med brugeren, applikationen eller de involverede data.

Operativsystem og patchstatus

En endpoint, der kører et forældet operativsystem eller mangler sikkerhedsopdateringer, udgør en større risiko end en fuldt opdateret administreret arbejdsstation. Minimumsoperativsystemversioner og patchkrav giver derfor nyttige baselinekontroller.

Derudover kan politikker tilpasses den type adgang, der kræves: strengere for højrisiko administrative formål end for almindelige applikationsbrugere eller dem, der får adgang til en enkelt specifik applikation. Målet er ikke at indsamle hver mulig endpoint-attribut, men at identificere betingelser, der væsentligt påvirker, om adgangen skal betragtes som pålidelig.

Endpoint beskyttelse, firewall og kryptering

Stærke enhedssundhedstjek vil evaluere, om den nødvendige endpoint-beskyttelse kører, og om kontroller som passende lokal firewall-konfiguration og passende disk-kryptering er aktiveret. Endpoint Detection and Response (EDR), endpoint-administrationsplatforme og lignende kan give yderligere information om malware-detektioner, trusselsniveauer eller konfigurationsoverholdelse.

Disse signaler er særligt vigtige for bærbare computere, der opererer uden for det virksomhedens netværk. Et gyldigt brugernavn og password afslører ikke, om endpoint beskyttelse er blevet deaktiveret, eller om enheden stadig rapporterer korrekt til organisationens sikkerhedsværktøjer.

Enhedsidentitet, certifikater og administrationsstatus

Udover enhedens sundhed skal yderligere spørgsmål adresseres: IT-teams kan også have brug for at fastslå mere præcist, hvilken enhed der opretter forbindelse.

Enhedsbeviser, registreringer af tilmelding, værtidentitet og administrationsstatus kan hjælpe med at skelne mellem kendte virksomhedsenheder og ukendte eller ikke-administrerede computere. I et Bring Your Own Device (BYOD) miljø skaber dette en vigtig skelnen mellem "tilstrækkeligt sund" og "autoriseret": en sikker personlig bærbar computer bliver ikke nødvendigvis en godkendt virksomhedsenhed.

Hvornår skal enhedens tilstand kontrolleres?

Det mest oplagte tidspunkt at køre et enhedsverifikationsprotokol er, før adgangen begynder. Endepunktet leverer de relevante oplysninger, som derefter evalueres i forhold til kravene, og forbindelsen tillades eller blokeres derefter.

Dog kan holdningen ændre sig under en langvarig session. Derfor er et sæt af kontroller utilstrækkeligt for nogle miljøer. En enhed kan miste overensstemmelse, endpoint-beskyttelse kan stoppe, eller sikkerhedstelemetri kan identificere en ny trussel. For at afbøde denne kendsgerning om, at en session potentielt kan overleve oprindeligt berettiget adgang, understøtter mere modne arkitekturer derfor periodisk genvurdering. De kan på samme måde oprette begivenhed-udløste adgangsbeslutninger i stedet for at behandle en vellykket login som permanent bevis på tillid.

Den passende frekvens afhænger af risikoen. Administrative konti og følsomme applikationer kan retfærdiggøre meget hyppigere validering end lavrisikoressourcer. Det vigtige princip er, at de oplysninger, der bruges til at træffe en adgangsbeslutning, ikke bør forblive betroede på ubestemt tid, især hvis et endpoint udvikler sig.

Hvad skal der ske, når en enhed fejler en holdningskontrol?

Fejl behøver ikke altid at føre til den samme reaktion. IT-teams bør på forhånd beslutte, hvilke fejl der kræver øjeblikkelig blokering, og hvilke der kan rettes og derfor kræver afhjælpning.

En praktisk politik kan:

• nægt adgang for kritiske fejl, såsom når endpointbeskyttelse mangler, eller hvis en enhed viser sig at være kompromitteret;
• begræns adgang, når enhedens status er usikker eller ikke kan verificeres;
• informere brugeren om, hvilken krav der er mislykkedes;
• diriger endpointet gennem en opdatering, patching eller afhjælpning;
• registrerer logfilerne for den mislykkede vurdering til undersøgelse; og
• test og genvurder enheden, før normal adgang genoprettes.

Responsen skal svare til risikoen. En manglende opdatering eller en forældet version kan retfærdiggøre afhjælpning, mens beviser for aktiv kompromittering bør udløse isolering og hændelsesresponsprocedurer.

TSplus Remote Support kan hjælpe på dette stadium. Supportteknikere kan bruge tilstedeværende eller uovervåget fjernassistance til at fejlfinde og afhjælpe endpoint-problemer, når administrativ indgriben er nødvendig.

Hvordan passer enhedens holdningskontroller ind i MFA og Zero Trust?

Enhedsstatus, multifaktorautentifikation (MFA) og Zero Trust adresserer relaterede, men forskellige spørgsmål.

MFA spørger, om den person, der anmoder om adgang, kan bevise sin identitet gennem mere end én faktor. Enhedens tilstand tilføjer, om den endpoint, som de opretter forbindelse fra, opfylder sikkerhedskravene. Rettighederne bestemmer derefter, hvilke applikationer eller systemer den specifikke bruger + enhedskombination skal have lov til at nå.

NIST, europæisk regulering og andre cybersikkerhedsforløbere berører Zero Trust-principper Brugerautentifikation og enhedshelse samt autorisation er separate funktioner, der udføres, før en ny forbindelse til fjernressourcer etableres, nogle gange usynlige for brugerne selv.

Enhedens holdningskontroller er derfor en komponent i en lagdelt adgangsstrategi og bestemt ikke en erstatning for MFA, tilladelser eller beskyttelse på serversiden. Læs videre her for vores dækning af Zero Trust inden for identitet, enhedstillid, mindst privilegium og overvågning.

Hvordan kan IT-teams anvende principper for enhedsposition med TSplus?

Anvendelse af TSplus softwarefunktioner til at styrke enhedskontroller.

En TSplus-implementering kan kombinere flere kontroller omkring adgangsbeslutningen, mens dybere endpoint-overholdelseskontroller forbliver med visse dedikerede værktøjer designet til at udføre dem.

TSplus Remote Access giver kontrolleret brugeradgang til centraliserede Windows-applikationer og -desktops. At tilføje TSplus 2FA styrker brugerautentificeringen ved at kræve en adgangskode og en tidsbaseret engangsbekræftelseskode til understøttede TSplus Remote Access-forbindelsesmetoder.

TSplus Advanced Security tilføjer et ekstra beskyttelseslag. Dets funktion Trusted Devices kan knytte brugere til specificerede enhedsnavne og afvise logins fra ugyldige enheder. Dette giver enhedsbevidst adgangskontrol. Andre TSplus Advanced Security funktioner er værd at udforske i periferien til enhedsadministration.

Yderligere sikkerhedsforanstaltninger at implementere

Det yderligere beskyttelsesniveau for en komplet holdningsmotor ville være ekstra til disse. Jeg bør vurdere patchstatus, disk kryptering, EDR sundhed eller andre endpoint-overholdelsessignaler.

Sysadmins bør også tage højde for implementeringsbegrænsninger, når de designer deres politikker. Trusted Devices er ikke kompatibel med HTML5-forbindelser, og mobile enheder kan præsentere yderligere begrænsninger for identifikation af værtsnavne. Disse faktorer er vigtige, når man designer politikker omkring web- eller mobiladgang.

Dybere enhedshelbredsoplysninger kan derfor forblive ansvaret for Windows-styring, EDR, endpoint-styring eller andre overholdelsesværktøjer. TSplus kan derefter kontrollere, hvordan autentificerede brugere får adgang til publicerede ressourcer og beskytter visse applikationsserver-specifikke sikkerhedsaspekter. Denne adskillelse giver IT-teams mulighed for at opbygge lagdelt sikkerhed uden at antage, at identitet, endpoint-helbred og applikationslevering alle skal komme fra det samme system.

Netværkssynlighed leveret af TSplus overvågningssoftware

TSplus Server Monitoring tilføjer synlighed på infrastruktur siden ved at spore serverens ydeevne, applikationer og brugeraktivitet. Det udfører ikke vurdering af klientenhedens tilstand, men det kan supplere adgangskontroller med operationel overvågning, når fjernarbejdsbelastninger kører. Vores dokumentation og vores guide til fjernskrivebords overvågningssoftware og sessionssynlighed giv yderligere oplysninger. Desuden supplerer IP-overvågningen (og blokeringen) udført af TSplus Advanced Security denne synlighed og beskyttelse.

En praktisk enhedsholdningscheckliste for sysadmins

En politik for holdning, der starter med et lille antal kontroller, som administratorer konsekvent kan håndhæve, vil helt sikkert være lettere at betjene. For et Windows-orienteret fjernadgangsmiljø, overvej følgende spørgsmål:

1. Kører endpointet et understøttet og tilstrækkeligt opdateret operativsystem?
2. Er det nødvendige antivirus, EDR eller anden nødvendig endpoint-beskyttelse aktiv?
3. Er essentielle firewall- og krypteringsindstillinger konfigureret i overensstemmelse med virksomhedens politik?
4. Er endpointet registreret som en anerkendt eller administreret enhed?
5. Har endpointen en acceptabel overholdelses- eller trusselstatus?
6. Er brugeren beskyttet af passende autentificeringskontroller?

Den nøjagtige grænse bør afspejle følsomheden af ressourcen og variere som konsekvens. Administrative sessioner bør normalt have strengere krav end almindelig adgang til en enkelt offentliggjort forretningsapplikation.

Byg enhedstillid ind i hver beslutning om Remote Access

Sikkerheden for fjernadgang bør ikke stoppe, når en adgangskode er accepteret. Enhedens tilstandskontroller giver oplysninger om endpointets tilstand og identitet, som er essentielle for adgangsbeslutningen, hvilket hjælper systemadministratorer med at skelne mellem legitime legitimationsoplysninger og en forbindelseskilde, som faktisk er sikker at stole på, fra en potentiel sikkerhedsrisiko.

TSplus Remote Access, Advanced Security og 2FA kan være en del af den lagdelte arkitektur, der giver flere adgangs- og identitetskontroller omkring den beslutning. Imens giver endpoint-management og sikkerhedsværktøjer dybere enhedssundhed og overholdelsessignaler, hvor det er nødvendigt.

Det endelige resultat er en samlet mere forsvarlig beslutningsmodel, hvor IT-teamet kan evaluere brugere, enheder og ressourcer sammen og i henhold til deres faktiske risiko, ikke kun én gang, men på en tilbagevendende basis.