Provjere stanja uređaja za Remote Access: Što IT timovi trebaju znati

U kibernetičkoj sigurnosti, provjere stanja uređaja služe za utvrđivanje ispunjava li krajnja točka definirane sigurnosne zahtjeve, kako prije tako i tijekom pristupa resursima tvrtke. Za sysadmina koji upravlja udaljenim vezama, uspješna autentifikacija samo je dio odluke. Naime, takve provjere postavljaju bitna pitanja o autentifikaciji, od "Je li ovo pravi korisnik?" do "Je li ovaj uređaj dovoljno pouzdan za povezivanje?", putem uvjeta veze i stvarnog identiteta uređaja.

Daljinski radnici mogu se autentificirati koristeći važeće vjerodajnice, ali se mogu povezivati s neispravnim, neuređenim ili kompromitiranim računalom, što čini provjeru identiteta nužnom, ali očito nedovoljnom. Provjere stanja uređaja pomažu IT timovima da procijene sam endpoint i odluče treba li pristup odobriti, ograničiti ili odbiti.

Što je provjera stanja uređaja za daljinski pristup?

Provjera stanja uređaja ocjenjuje sigurnosno stanje prijenosnog računala, radne stanice ili drugog krajnjeg uređaja prema unaprijed definiranim zahtjevima. Rezultat služi za određivanje hoće li tom uređaju biti dopušten pristup aplikacijama, radnim površinama ili drugim korporativnim resursima.

Procjena stanja može ispitati stavke kao što su verzija operativnog sustava, status enkripcije, zaštita krajnjih točaka i identitet uređaja. Na primjer, Microsoft opisuje politike usklađenosti uređaja kao pravila koja se koriste za određivanje ispunjavaju li upravljani uređaji potrebne konfiguracije prije nego što se njihov status usklađenosti koristi za odluke o pristupu.

Ovo se značajno razlikuje od autentifikacije korisnika. Ispravne vjerodajnice dokazuju identitet osobe koja se povezuje. Provjera položaja procjenjuje sustav s kojeg se te vjerodajnice predstavljaju i ispunjava li on sigurnosne zahtjeve organizacije.

Za okruženja Protokola daljinske radne površine, ta razlika je od velike važnosti. Na primjer: iako je ovlašten, račun koji se povezuje s nesigurnog krajnjeg uređaja može izložiti daljinske resurse krađi vjerodajnica, zloćudnom softveru ili neovlaštenom pristupu. Naš vodič za procjena sigurnosti računala izloženog putem Remote Desktop istražuje stanje krajnjih točaka uz izloženost mreži i kontrole računa.

Koje signale uređaja trebaju provjeriti IT timovi?

Ne može postojati jedinstvena univerzalna politika posture uređaja koja bi odgovarala svima. Signali bi trebali biti odabrani prema resursima koji se štite, upravljanju uređajima i vlasništvu, te razini rizika povezanog s korisnikom, aplikacijom ili podacima koji su uključeni.

Status operativnog sustava i zakrpa

Krajna točka koja koristi zastarjeli operativni sustav ili nedostaje sigurnosne nadogradnje predstavlja veći rizik od potpuno zakrpljene upravljane radne stanice. Minimalne verzije operativnog sustava i zahtjevi za zakrpe stoga pružaju korisne osnovne provjere.

Dodatno, politike se mogu prilagoditi vrsti potrebnog pristupa: strožije za administrativne svrhe visokog rizika nego za obične korisnike aplikacija ili one koji pristupaju jednoj specifičnoj aplikaciji. Cilj nije prikupiti svaki mogući atribut krajnje točke, već identificirati uvjete koji bitno utječu na to treba li pristup smatrati pouzdanim.

Zaštita krajnjih točaka, vatrozid i enkripcija

Snažne provjere zdravlja uređaja procijenit će je li potrebna zaštita krajnjih točaka aktivna i jesu li omogućene kontrole poput odgovarajuće lokalne konfiguracije vatrozida i odgovarajuće enkripcije diska. Platforme za otkrivanje i odgovor na krajnje točke (EDR), platforme za upravljanje krajnjim točkama i slične mogu pružiti dodatne informacije o otkrićima zlonamjernog softvera, razinama prijetnji ili usklađenosti s konfiguracijom.

Ovi signali su posebno važni za prijenosna računala koja rade izvan korporativne mreže. Važeće korisničko ime i lozinka ne otkrivaju je li zaštita krajnjih točaka onemogućena ili je li uređaj još uvijek ispravno prijavljen sigurnosnim alatima organizacije.

Identitet uređaja, certifikati i status upravljanja

Osim zdravlja uređaja, potrebno je riješiti dodatna pitanja: IT timovi također mogu trebati preciznije utvrditi koji se uređaj povezuje.

Certifikati uređaja, zapisi o upisima, identitet domaćina i status upravljanja mogu pomoći u razlikovanju poznatih korporativnih krajnjih točaka od nepoznatih ili neuređenih računala. U okruženju "Donesi vlastiti uređaj" (BYOD), to stvara važnu razliku između "dovoljno zdravog" i "odobrenog": siguran osobni prijenosnik ne postaje nužno odobreni korporativni uređaj.

Kada treba provjeriti stanje uređaja?

Naj očitiji trenutak za pokretanje protokola provjere uređaja je prije nego što pristup započne. Krajni uređaj pruža relevantne informacije, koje se zatim ocjenjuju u odnosu na zahtjeve, a veza se stoga dopušta ili blokira u skladu s tim.

Međutim, položaj se može promijeniti tijekom dugotrajne sesije. Stoga, za neka okruženja, jedan set provjera nije dovoljan. Uređaj može prestati biti u skladu, zaštita krajnjih točaka može prestati raditi ili sigurnosna telemetrija može identificirati novu prijetnju. Kako bi se ublažila ova činjenica da sesija potencijalno može nadživjeti izvorno opravdani pristup, zrelije arhitekture stoga podržavaju periodičku ponovnu procjenu. Također mogu postaviti odluke o pristupu koje se aktiviraju događajem umjesto da tretiraju uspješnu prijavu kao trajni dokaz povjerenja.

Prikladna frekvencija ovisi o riziku. Administrativni računi i osjetljive aplikacije mogu opravdati mnogo češću provjeru nego resursi niskog rizika. Važan princip je da informacije korištene za donošenje odluke o pristupu ne bi trebale ostati pouzdane neodređeno, posebno ako se krajnja točka razvija.

Što bi se trebalo dogoditi kada uređaj ne prođe provjeru stanja?

Neuspjeh ne mora uvijek dovesti do istog odgovora. IT timovi trebaju unaprijed odlučiti koji neuspjesi zahtijevaju trenutno blokiranje, a koji se mogu ispraviti i stoga zahtijevaju otklanjanje.

Praktična politika može:

• odbij pristup za kritične pogreške kao što su kada nedostaje zaštita krajnje točke ili ako je uređaj kompromitiran;
• ograničiti pristup kada je status uređaja neizvjestan ili se ne može provjeriti;
• obavijestite korisnika koji je zahtjev nije ispunjen;
• izravno usmjerite krajnju točku putem ažuriranja, zakrpe ili sanacije;
• zapisuje dnevnike neuspjele procjene za istragu; i
• testirajte i ponovo procijenite uređaj prije vraćanja normalnog pristupa.

Odgovor bi trebao odgovarati riziku. Nedostajući zakrpa ili zastarjela verzija mogu opravdati sanaciju, dok bi dokazi o aktivnom kompromitiranju trebali pokrenuti postupke izolacije i odgovora na incidente.

TSplus Remote Support može pomoći u ovoj fazi. Tehničari podrške mogu koristiti prisutnu ili neprisutnu daljinsku pomoć za rješavanje i otklanjanje problema s krajnjim točkama kada je potrebna administrativna intervencija.

Kako se provjere stanja uređaja uklapaju s MFA i Zero Trust?

Stav uređaja, višefaktorska autentifikacija (MFA) i Zero Trust rješavaju povezane, ali različite probleme.

MFA postavlja pitanje može li osoba koja traži pristup dokazati svoj identitet kroz više od jednog faktora. Postura uređaja dodaje informaciju ispunjava li krajnja točka s koje se povezuju sigurnosne zahtjeve. Dozvole zatim određuju aplikacije ili sustave kojima bi određena kombinacija korisnika + uređaja trebala imati pristup.

NIST, europska regulativa i drugi pioniri kibernetičke sigurnosti raspravljaju Načela Zero Trust Autentifikacija korisnika i zdravlje uređaja te autorizacija su odvojene funkcije koje se obavljaju prije uspostavljanja nove veze s udaljenim resursima, ponekad nevidljivim samim korisnicima.

Provjere stanja uređaja su stoga jedan od sastavnica višeslojne strategije pristupa i zasigurno nisu zamjena za MFA, dozvole ili zaštitu na strani poslužitelja. Nastavite čitati Ovdje za našu pokrivenost Zero Trust u vezi s identitetom, povjerenjem uređaja, minimalnim privilegijama i nadzorom.

Kako mogu IT timovi primijeniti principe posture uređaja s TSplus?

Primjena značajki TSplus softvera za jačanje provjera uređaja

Implementacija TSplusa može kombinirati nekoliko kontrola oko odluke o pristupu, dok dublje provjere usklađenosti krajnjih točaka ostaju s određenim namjenskim alatima dizajniranim za njihovo izvođenje.

TSplus Remote Access omogućuje kontrolirani pristup korisnika centraliziranim Windows aplikacijama i radnim površinama. Dodavanje TSplus 2FA jača autentifikaciju korisnika zahtijevajući lozinku i vremenski ograničeni jednokratni verifikacijski kod za podržane metode povezivanja TSplus Remote Access.

TSplus Advanced Security dodaje još jedan zaštitni sloj. Njegova značajka Pouzdani uređaji može povezati korisnike s određenim nazivima uređaja i odbiti prijave s nevažećih. To omogućuje kontrolu pristupa svjesnu uređaja. Ostalo TSplus Napredna sigurnost Značajke vrijedi istražiti u perifernom upravljanju uređajima.

Daljnje sigurnosne mjere za implementaciju

Dodatna razina zaštite potpunog motora posture bila bi dodatna ovim. Trebam procijeniti status zakrpa, enkripciju diska, zdravlje EDR-a ili druge signale usklađenosti krajnjih točaka.

Sustavci također trebaju uzeti u obzir ograničenja implementacije prilikom dizajniranja svojih politika. Pouzdani uređaji nisu kompatibilni s HTML5 vezama, a mobilni uređaji mogu predstavljati dodatna ograničenja identifikacije imena hosta. Ovi faktori su važni prilikom dizajniranja politika vezanih uz web ili mobilni pristup.

Dublje informacije o zdravlju uređaja stoga mogu ostati odgovornost Windows upravljanja, EDR-a, upravljanja krajnjim točkama ili drugih alata za usklađenost. TSplus tada može kontrolirati kako ovlašteni korisnici pristupaju objavljenim resursima i štiti određene aspekte sigurnosti specifične za aplikacijski poslužitelj. Ova separacija omogućuje IT timovima izgradnju slojevite sigurnosti bez pretpostavke da identitet, zdravlje krajnjih točaka i isporuka aplikacija moraju dolaziti iz istog sustava.

Vidljivost mreže koju pruža TSplus softver za praćenje

TSplus Server Monitoring dodaje vidljivost na strani infrastrukture praćenjem performansi poslužitelja, aplikacija i aktivnosti korisnika. Ne provodi procjenu stanja klijentskih uređaja, ali može dopuniti kontrole pristupa operativnim nadzorom kada su udaljeni radni zadaci u tijeku. Naša dokumentacija i naš vodič za softver za praćenje udaljenog radnog stola i vidljivost sesija dajte dodatne informacije. Također, nadzor (i blokiranje) IP-a koji provodi TSplus Advanced Security dopunjuje ovu vidljivost i zaštitu.

Praktična kontrolna lista za držanje uređaja za sysadmin-e

Politika posture koja počinje s malim brojem provjera koje administratori mogu dosljedno provoditi sigurno će biti lakša za upravljanje. Za Windows-orijentirano okruženje za daljinski pristup, razmotrite sljedeća pitanja:

1. Je li krajnja točka na podržanom i adekvatno zakrpljenom operativnom sustavu?
2. Je li aktivna potrebna antivirusna zaštita, EDR ili druga potrebna zaštita krajnjih točaka?
3. Jesu li osnovne postavke vatrozida i enkripcije konfigurirane u skladu s politikom tvrtke?
4. Je li krajnja točka zabilježena kao prepoznati ili upravljani uređaj?
5. Ima li krajnja točka prihvatljiv status usklađenosti ili prijetnje?
6. Je li korisnik zaštićen odgovarajućim kontrolama autentifikacije?

Točan prag bi trebao odraziti osjetljivost resursa i varirati u posljedicama. Administrativne sesije obično bi trebale imati strože zahtjeve od običnog pristupa jednoj objavljenoj poslovnoj aplikaciji.

Ugradite povjerenje uređaja u svaku odluku o daljinskom pristupu

Sigurnost daljinskog pristupa ne bi trebala prestati kada se prihvati lozinka. Provjere stanja uređaja pružaju informacije o stanju krajnje točke i identitetu koje su bitne za odluku o pristupu, pomažući sistemskim administratorima da razlikuju legitimne vjerodajnice s izvora veze koji je zapravo siguran za povjerenje od potencijalnog sigurnosnog rizika.

TSplus Remote Access, Advanced Security i 2FA mogu biti dio te slojevite arhitekture, pružajući nekoliko kontrola pristupa i identiteta oko te odluke. U međuvremenu, alati za upravljanje krajnjim točkama i sigurnost pružaju dublje signale o zdravlju uređaja i usklađenosti gdje je to potrebno.

Konačni rezultat je sveukupno obrambeniji model odluke u kojem IT tim može zajednički procijeniti korisnike, uređaje i resurse prema njihovom stvarnom riziku, ne samo jednom, već na ponavljajućoj osnovi.