Eszközállapot-ellenőrzések a biztonságos Remote Access

A kiberbiztonság területén a készülék állapotellenőrzések arra szolgálnak, hogy meghatározzák, vajon egy végpont megfelel-e a meghatározott biztonsági követelményeknek, mind a vállalati erőforrásokhoz való hozzáférés előtt, mind pedig annak során. A távoli kapcsolatok kezelésével foglalkozó rendszergazdák számára a sikeres hitelesítés csupán a döntés egy része. Valójában az ilyen ellenőrzések alapvető hitelesítési kérdéseket vetnek fel, a „Ez a megfelelő felhasználó?” kérdéstől kezdve a „Ez a készülék elég megbízható a csatlakozáshoz?” kérdésig, a csatlakozási feltételeken és a tényleges készülékazonosításon keresztül.

A távoli munkavállalók érvényes hitelesítő adatokkal hitelesíthetnek, miközben egy nem javított, nem kezelt vagy kompromittált számítógépről csatlakoznak, ami szükségessé teszi az identitás ellenőrzését, de nyilvánvalóan nem elegendő. Az eszköz állapotellenőrzések segítik az IT csapatokat az végpont értékelésében, és eldönteni, hogy a hozzáférést meg kell adni, korlátozni kell vagy meg kell tagadni.

Mi az eszközállapot-ellenőrzés a Remote Access számára?

Egy eszközállapot-ellenőrzés értékeli egy laptop, munkaállomás vagy más végpont biztonsági állapotát a meghatározott követelményekkel szemben. Az eredmény segít meghatározni, hogy az eszköznek engedélyezni kell-e az alkalmazásokhoz, asztalokhoz vagy más vállalati erőforrásokhoz való hozzáférést.

A helyzetértékelés megvizsgálhat olyan elemeket, mint az operációs rendszer verziója, a titkosítási állapot, az endpoint védelem és az eszközazonosító. Például a Microsoft leírja eszközmegfelelőségi irányelvek azoknak a szabályoknak a használata, amelyek meghatározzák, hogy a kezelt eszközök megfelelnek-e a szükséges konfigurációknak, mielőtt a megfelelőségi állapotukat hozzáférési döntésekhez használnák.

Ez lényegesen eltér a felhasználói hitelesítéstől. A helyes hitelesítő adatok bizonyítják a csatlakozó személy azonosságát. A helyzetellenőrzés értékeli azt a rendszert, ahonnan ezeket a hitelesítő adatokat bemutatják, és hogy megfelel-e a szervezet biztonsági követelményeinek.

A Távoli Asztali Protokoll környezetekben ez a megkülönböztetés rendkívül fontos. Például: bár engedélyezett, egy olyan fiók, amely egy nem biztonságos végpontról csatlakozik, kitéve a távoli erőforrásokat a hitelesítő adatok ellopásának, rosszindulatú programoknak vagy jogosulatlan hozzáférésnek. Útmutatónk a a számítógép biztonságának értékelése, amely a Remote Desktop-on keresztül van kitéve vizsgálja az végponti helyzetet a hálózati kitettséggel és a fiókellenőrzésekkel együtt.

Melyik eszközjelekre kell figyelniük az IT csapatoknak?

Nem lehet egyetlen univerzális eszközállapot-politika, amely mindenki számára megfelelő. A jeleket a védett erőforrások, az eszközkezelés és a tulajdonjog, valamint a felhasználóval, alkalmazással vagy az érintett adatokkal kapcsolatos kockázat szintje szerint kell kiválasztani.

Operációs rendszer és javítási állapot

Egy elavult operációs rendszert futtató vagy biztonsági frissítéseket hiányoló végpont nagyobb kockázatot jelent, mint egy teljesen frissített, kezelt munkaállomás. Az operációs rendszer minimális verziói és a javítási követelmények ezért hasznos alapellenőrzéseket nyújtanak.

Ezenkívül a politikák a szükséges hozzáférés típusához igazíthatók: szigorúbbak a magasabb kockázatú adminisztratív célokra, mint a szokásos alkalmazásfelhasználók vagy azok számára, akik egyetlen konkrét alkalmazáshoz férnek hozzá. A cél nem minden lehetséges végpontattribútum összegyűjtése, hanem olyan feltételek azonosítása, amelyek lényegesen befolyásolják, hogy a hozzáférést megbízhatónak kell-e tekinteni.

Végpontvédelem, Tűzfal és Titkosítás

Erős eszköz egészségügyi ellenőrzések értékelni fogják, hogy a szükséges endpoint védelem fut-e, és hogy az olyan vezérlők, mint a megfelelő helyi tűzfal konfiguráció és a megfelelő lemez titkosítás engedélyezve vannak-e. Az Endpoint Detection and Response (EDR), az endpoint-kezelő platformok és hasonlók további információkat nyújthatnak a kártevő észlelésekről, a fenyegetettségi szintekről vagy a konfigurációs megfelelőségről.

Ezek a jelek különösen fontosak a vállalati hálózaton kívül működő laptopok esetében. Egy érvényes felhasználónév és jelszó nem árulja el, hogy a végpontvédelem le van-e tiltva, vagy hogy az eszköz továbbra is helyesen jelenti-e a szervezet biztonsági eszközeinek.

Eszközazonosság, Tanúsítványok és Kezelési állapot

A készülék egészségén túl további kérdéseket is meg kell válaszolni: az IT csapatoknak pontosabban meg kell határozniuk, hogy melyik készülék csatlakozik.

Eszköz tanúsítványok, beiratkozási nyilvántartások, gazdagép-azonosítók és kezelési állapot segíthetnek megkülönböztetni a jól ismert vállalati végpontokat az ismeretlen vagy nem kezelt számítógépektől. Egy Hozd a saját eszközöd (BYOD) környezetben ez fontos megkülönböztetést teremt a „megfelelően egészséges” és az „engedélyezett” között: egy biztonságos személyi laptop nem feltétlenül válik jóváhagyott vállalati eszközzé.

Mikor kell ellenőrizni az eszköz állapotát?

A legnyilvánvalóbb időpont a készülék-ellenőrzési protokoll futtatására az, amikor a hozzáférés megkezdődik. A végpont megadja a releváns információkat, amelyeket ezután a követelményekhez viszonyítva értékelnek, és a kapcsolat ennek megfelelően engedélyezve vagy blokkolva van.

Azonban a testtartás megváltozhat egy hosszú távú munkamenet során. Így egyes környezetekben egyetlen ellenőrzés nem elegendő. Egy eszköz kikerülhet a megfelelőségből, az endpoint védelem leállhat, vagy a biztonsági telemetria új fenyegetést azonosíthat. Ennek a ténynek a mérséklésére, hogy egy munkamenet potenciálisan túlélheti az eredetileg indokolt hozzáférést, a fejlettebb architektúrák ezért támogatják az időszakos újraértékelést. Hasonlóképpen eseményalapú hozzáférési döntéseket is hozhatnak, a sikeres bejelentkezést pedig nem állandó bizalom bizonyítékaként kezelik.

A megfelelő gyakoriság a kockázattól függ. Az adminisztratív fiókok és érzékeny alkalmazások sokkal gyakoribb érvényesítést indokolhatnak, mint az alacsony kockázatú erőforrások. A fontos elv az, hogy az a információ, amelyet a hozzáférési döntés meghozatalához használnak, nem maradhat megbízhatónak határozatlan ideig, különösen, ha egy végpont fejlődik.

Mi történjen, ha egy eszköz megbukik a helyzetellenőrzésen?

A hiba nem mindig kell, hogy ugyanazt a választ eredményezze. Az IT csapatoknak előre el kell dönteniük, hogy mely hibák igényelnek azonnali blokkolást, és melyek javíthatók, ezért igényelnek helyreállítást.

Egy praktikus politika a következőket teheti:

tagadja meg a hozzáférést kritikus hibák esetén, például ha az endpoint védelem hiányzik, vagy ha egy eszköz sérültnek bizonyul;
hozzáférés korlátozása, amikor az eszköz állapota bizonytalan vagy nem ellenőrizhető;
értesítse a felhasználót, hogy melyik követelmény nem teljesült;
irányítsa az végpontot egy frissítés, javítás vagy helyreállítás révén;
a sikertelen értékelést nyomozás céljából rögzíti; és
tesztelje és értékelje újra az eszközt, mielőtt visszaállítaná a normál hozzáférést.

A válasznak meg kell felelnie a kockázatnak. Egy hiányzó javítás vagy elavult verzió indokolhatja a helyreállítást, míg az aktív kompromisszum bizonyítéka izolálást és incidens-reakciós eljárásokat kell, hogy kiváltson.

A TSplus Remote Support ebben a szakaszban segítséget nyújthat. A támogatási technikusok részt vett vagy unattended távoli segítséget használhatnak a végponti problémák hibaelhárítására és megoldására, amikor adminisztratív beavatkozásra van szükség.

Hogyan illeszkednek az eszközállapot-ellenőrzések az MFA-hoz és a Zero Trust-hoz?

Eszközállapot, többlépcsős hitelesítés (MFA) és Zero Trust kapcsolódó, de különböző kérdéseket érintenek.

Az MFA megkérdezi, hogy a hozzáférést kérő személy képes-e több mint egy tényezővel igazolni a személyazonosságát. Az eszköz állapota hozzáadja, hogy az a végpont, ahonnan csatlakoznak, megfelel-e a biztonsági követelményeknek. A jogosultságok ezután meghatározzák azokat az alkalmazásokat vagy rendszereket, amelyekhez a konkrét felhasználó + eszköz kombináció hozzáférést kap.

NIST, európai szabályozás és más kiberbiztonsági úttörők érintik Zero Trust elvek A felhasználói hitelesítés, az eszköz egészsége és az engedélyezés különálló funkciók, amelyeket a távoli erőforrásokhoz való új kapcsolat létrehozása előtt hajtanak végre, amelyek néha láthatatlanok a felhasználók számára.

A készülék állapotellenőrzései tehát a réteges hozzáférési stratégia egyik összetevője, és biztosan nem helyettesítik az MFA-t, a jogosultságokat vagy a szerveroldali védelmet. Olvass tovább itt a Zero Trust koncepciónkhoz az identitás, eszközbizalom, legkisebb jogosultság és megfigyelés terén.

Hogyan alkalmazhatják az IT csapatok az eszközállapot elveit a TSplus segítségével?

A TSplus szoftverfunkciók alkalmazása az eszközellenőrzések megerősítésére

A TSplus telepítés képes több ellenőrzést kombinálni a hozzáférési döntés körül, miközben a mélyebb végpont-összhangellenőrzések bizonyos dedikált eszközökkel maradnak, amelyek kifejezetten ezek végrehajtására lettek tervezve.

TSplus Távhozzáférés vezérli a felhasználói hozzáférést a központosított Windows alkalmazásokhoz és asztalokhoz. A TSplus 2FA hozzáadása megerősíti a felhasználói hitelesítést azáltal, hogy jelszót és időalapú egyszeri ellenőrző kódot követel meg a támogatott TSplus Remote Access kapcsolati módszerekhez.

A TSplus Advanced Security egy újabb védelmi réteget ad hozzá. A Trusted Devices funkció lehetővé teszi a felhasználók összekapcsolását meghatározott eszköznevekkel, és elutasítja a bejelentkezéseket érvénytelen eszközökről. Ez eszközalapú hozzáférés-ellenőrzést biztosít. Más TSplus Advanced Security A funkciók érdemesek a felfedezésre a Devices management perifériáján.

További biztonsági intézkedések végrehajtásához

A teljes helyzetmotor további védelmi szintje ezekhez képest kiegészítő lenne. Értékelnem kell a javítócsomag állapotát, a lemez titkosítást, az EDR állapotát vagy más végponti megfelelőségi jeleket.

A rendszergazdáknak figyelembe kell venniük a telepítési korlátozásokat a politikáik megtervezésekor. A Megbízható Eszközök nem kompatibilisek az HTML5 kapcsolatokkal, és a mobil eszközök további hosztnév-azonosítási korlátozásokat jelenthetnek. Ezek a tényezők fontosak a webes vagy mobil hozzáférés körüli politikák megtervezésekor.

A mélyebb eszközállapot-információk tehát a Windows-kezelés, EDR, végpontkezelés vagy más megfelelőségi eszközök felelőssége alatt maradhatnak. A TSplus ezután ellenőrizheti, hogy az azonosított felhasználók hogyan érik el a közzétett erőforrásokat, és véd bizonyos alkalmazás-szerver-specifikus biztonsági szempontokat. Ez a szétválasztás lehetővé teszi az IT csapatok számára, hogy réteges biztonságot építsenek anélkül, hogy feltételeznék, hogy az identitásnak, a végpont állapotának és az alkalmazás szállításának mind ugyanabból a rendszerből kell származnia.

A TSplus monitoring szoftver által biztosított hálózati láthatóság

TSplus Server Monitoring átláthatóságot biztosít az infrastruktúra oldalán a szerver teljesítményének, alkalmazásoknak és felhasználói tevékenységeknek a nyomon követésével. Nem végez kliens eszköz állapotfelmérést, de kiegészítheti a hozzáférés-ellenőrzéseket operatív megfigyeléssel, amint a távoli munkaterhelések futnak. Dokumentációnk és útmutatónk a távoli asztali megfigyelő szoftver és munkamenet láthatóság további részleteket nyújt. A TSplus Advanced Security által végzett IP felügyelet (és blokkolás) kiegészíti ezt a láthatóságot és védelmet.

A gyakorlati eszközállapot-ellenőrző lista rendszergazdák számára

Egy olyan házirend, amely egy kis számú ellenőrzéssel kezdődik, amelyet az adminisztrátorok következetesen érvényesíthetnek, biztosan könnyebben működtethető. Windows-orientált távoli hozzáférési környezet esetén fontolja meg a következő kérdéseket:

Futtatja a végpont egy támogatott és megfelelően javított operációs rendszert?
Aktív a szükséges antivírus, EDR vagy egyéb szükséges végpontvédelem?
Megfelelnek a tűzfal és titkosítási beállítások a vállalati politikának?
Az végpontot elismert vagy kezelt eszközként rögzítették?
Az végpont rendelkezik elfogadható megfelelőségi vagy fenyegetettségi állapottal?
A felhasználó megfelelő hitelesítési ellenőrzésekkel védett?

A pontos küszöbértéknek kellene tükrözze az erőforrás érzékenységét és ennek következményei lehetnek. Az adminisztratív munkameneteknek általában szigorúbb követelményekkel kell szembenézniük, mint a nyilvános üzleti alkalmazás egyetlen példányához való normál hozzáférésnek.

Építsen eszközbizalmat minden távoli hozzáférési döntésbe

A távoli hozzáférés biztonságának nem szabad megállnia, amikor egy jelszót elfogadnak. Az eszközállapot-ellenőrzések olyan végponti állapot- és azonosító információkat nyújtanak, amelyek elengedhetetlenek a hozzáférési döntéshez, segítve a rendszergazdákat a jogosult hitelesítő adatok megkülönböztetésében egy olyan kapcsolati forrással, amely valójában megbízható, a potenciális biztonsági kockázattól.

TSplus Remote Access, Advanced Security és 2FA részei lehetnek ennek a rétegzett architektúrának, amely számos hozzáférési és identitás-ellenőrzést biztosít e döntés körül. Eközben a végpontkezelési és biztonsági eszközök mélyebb eszközállapot- és megfelelőségi jeleket nyújtanak, ahol szükséges.

A végső eredmény egy sokkal védhetőbb döntési modell, amelyben az IT csapat közösen és a tényleges kockázatuk szerint értékelheti a felhasználókat, eszközöket és erőforrásokat, nemcsak egyszer, hanem folyamatosan.