Sprawdzanie postawy urządzenia dla bezpiecznego dostępu zdalnego

W cyberbezpieczeństwie kontrole stanu urządzeń służą do określenia, czy punkt końcowy spełnia określone wymagania bezpieczeństwa, zarówno przed, jak i w trakcie uzyskiwania dostępu do zasobów firmy. Dla administratorów systemów zarządzających połączeniami zdalnymi, pomyślna autoryzacja to tylko część decyzji. Rzeczywiście, takie kontrole rodzą istotne pytania dotyczące autoryzacji, od „Czy to właściwy użytkownik?” po „Czy to urządzenie jest wystarczająco zaufane, aby się połączyć?”, poprzez warunki połączenia i rzeczywistą tożsamość urządzenia.

Pracownicy zdalni mogą uwierzytelnić się za pomocą ważnych danych logowania, ale mogą łączyć się z niezałatanym, niezarządzanym lub skompromitowanym komputerem, co sprawia, że weryfikacja tożsamości jest konieczna, ale wyraźnie niewystarczająca. Kontrole stanu urządzenia pomagają zespołom IT ocenić samo urządzenie końcowe i zdecydować, czy dostęp powinien być przyznany, ograniczony czy odmówiony.

Co to jest sprawdzenie postawy urządzenia dla zdalnego dostępu?

Sprawdzenie postawy urządzenia ocenia stan bezpieczeństwa laptopa, stacji roboczej lub innego punktu końcowego w odniesieniu do zdefiniowanych wymagań. Wynik służy do określenia, czy to urządzenie powinno mieć dostęp do aplikacji, pulpitów lub innych zasobów korporacyjnych.

Ocena postawy może badać takie elementy jak wersja systemu operacyjnego, status szyfrowania, ochrona punktów końcowych i tożsamość urządzenia. Na przykład, Microsoft opisuje polityki zgodności urządzeń jako zasady stosowane do określenia, czy zarządzane urządzenia spełniają wymagane konfiguracje przed wykorzystaniem ich statusu zgodności do podejmowania decyzji o dostępie.

To jest wyraźnie różne od uwierzytelniania użytkownika. Poprawne dane uwierzytelniające potwierdzają tożsamość osoby łączącej się. Sprawdzenie postawy ocenia system, z którego te dane uwierzytelniające są przedstawiane, oraz czy spełnia on wymagania bezpieczeństwa organizacji.

Dla środowisk protokołu pulpitu zdalnego ta różnica ma ogromne znaczenie. Na przykład: chociaż jest autoryzowane, konto łączące się z niebezpiecznego punktu końcowego naraża zdalne zasoby na kradzież poświadczeń, złośliwe oprogramowanie lub nieautoryzowany dostęp. Nasz przewodnik do ocena bezpieczeństwa komputera narażonego przez Remote Desktop bada postawę punktu końcowego w kontekście narażenia sieci i kontroli kont.

Jakie sygnały urządzeń powinny sprawdzić zespoły IT?

Nie może istnieć jedna uniwersalna polityka postawy urządzeń, która odpowiadałaby wszystkim. Sygnalizacje powinny być wybierane zgodnie z chronionymi zasobami, zarządzaniem urządzeniami i ich własnością oraz poziomem ryzyka związanego z użytkownikiem, aplikacją lub danymi.

Stan systemu operacyjnego i aktualizacji

Endpoint działający na przestarzałym systemie operacyjnym lub brakującym aktualizacjach zabezpieczeń stanowi większe ryzyko niż w pełni załatana zarządzana stacja robocza. Minimalne wersje systemu operacyjnego i wymagania dotyczące poprawek stanowią zatem przydatne podstawowe kontrole.

Dodatkowo, polityki mogą być dostosowane do rodzaju wymaganego dostępu: surowsze dla wyższych ryzykownych celów administracyjnych niż dla zwykłych użytkowników aplikacji lub tych, którzy uzyskują dostęp do jednej konkretnej aplikacji. Celem nie jest zbieranie każdego możliwego atrybutu punktu końcowego, ale zidentyfikowanie warunków, które istotnie wpływają na to, czy dostęp powinien być uznawany za zaufany.

Ochrona punktów końcowych, zapora i szyfrowanie

Silne kontrole stanu urządzeń ocenią, czy wymagane zabezpieczenia punktów końcowych są uruchomione oraz czy włączone są takie kontrole, jak odpowiednia konfiguracja lokalnej zapory ogniowej i odpowiednie szyfrowanie dysku. Platformy wykrywania i reakcji na zagrożenia (EDR), platformy zarządzania punktami końcowymi i tym podobne mogą dostarczyć dodatkowych informacji na temat wykryć złośliwego oprogramowania, poziomów zagrożeń lub zgodności konfiguracji.

Te sygnały są szczególnie ważne dla laptopów działających poza siecią korporacyjną. Ważna nazwa użytkownika i hasło nie ujawniają, czy ochrona punktów końcowych została wyłączona, ani czy urządzenie nadal poprawnie raportuje do narzędzi zabezpieczeń organizacji.

Tożsamość urządzenia, certyfikaty i status zarządzania

Poza zdrowiem urządzenia, należy zająć się dalszymi pytaniami: zespoły IT mogą również potrzebować dokładniej ustalić, które urządzenie się łączy.

Certyfikaty urządzeń, rekordy rejestracji, tożsamość hosta i status zarządzania mogą pomóc w odróżnieniu znanych punktów końcowych firmy od nieznanych lub niezarządzanych komputerów. W środowisku Bring Your Own Device (BYOD) tworzy to ważne rozróżnienie między „wystarczająco zdrowym” a „autoryzowanym”: bezpieczny osobisty laptop nie staje się automatycznie zatwierdzonym urządzeniem firmowym.

Kiedy należy sprawdzić postawę urządzenia?

Najbardziej oczywistym momentem na uruchomienie protokołu weryfikacji urządzenia jest czas przed rozpoczęciem dostępu. Punkt końcowy dostarcza odpowiednie informacje, które są następnie oceniane w odniesieniu do wymagań, a połączenie jest w związku z tym odpowiednio dozwolone lub zablokowane.

Jednak postawa może się zmieniać podczas długotrwałej sesji. Dlatego w niektórych środowiskach jeden zestaw kontroli jest niewystarczający. Urządzenie może stracić zgodność, ochrona punktów końcowych może zostać wstrzymana lub telemetria bezpieczeństwa może zidentyfikować nowe zagrożenie. Aby złagodzić ten fakt, że sesja może potencjalnie trwać dłużej niż pierwotnie uzasadniony dostęp, bardziej dojrzałe architektury wspierają zatem okresową ponowną ocenę. Mogą również ustalać decyzje o dostępie wyzwalane zdarzeniami, zamiast traktować udane logowanie jako trwały dowód zaufania.

Odpowiednia częstotliwość zależy od ryzyka. Konta administracyjne i wrażliwe aplikacje mogą uzasadniać znacznie częstsze weryfikacje niż zasoby o niskim ryzyku. Ważną zasadą jest to, że informacje używane do podejmowania decyzji o dostępie nie powinny pozostawać zaufane na czas nieokreślony, szczególnie jeśli punkt końcowy się zmienia.

Co powinno się stać, gdy urządzenie nie przejdzie kontroli postawy?

Niepowodzenie nie zawsze musi prowadzić do tej samej reakcji. Zespoły IT powinny z góry zdecydować, które awarie wymagają natychmiastowego zablokowania, a które można naprawić i dlatego wymagają remediów.

Praktyczna polityka może:

odmówić dostępu w przypadku krytycznych awarii, takich jak brak ochrony punktu końcowego lub jeśli urządzenie zostanie uznane za skompromitowane;
ogranicz dostęp, gdy status urządzenia jest niepewny lub nie może być zweryfikowany;
poinformuj użytkownika, który wymóg nie został spełniony;
skieruj punkt końcowy przez aktualizację, łatanie lub naprawę;
rejestruje logi nieudanej oceny do zbadania; i
przetestuj i ponownie oceń urządzenie przed przywróceniem normalnego dostępu.

Odpowiedź powinna odpowiadać ryzyku. Brak łatki lub przestarzała wersja mogą uzasadniać działania naprawcze, podczas gdy dowody aktywnego naruszenia powinny wywołać procedury izolacji i reakcji na incydenty.

TSplus Remote Support może pomóc na tym etapie. Technik wsparcia może używać zdalnej pomocy z udziałem lub bez udziału użytkownika, aby rozwiązać i naprawić problemy z punktami końcowymi, gdy wymagana jest interwencja administracyjna.

Jak kontrole postawy urządzeń pasują do MFA i Zero Trust?

Postura urządzenia, uwierzytelnianie wieloskładnikowe (MFA) oraz Zero Trust dotyczą powiązanych, ale różnych kwestii.

MFA pyta, czy osoba ubiegająca się o dostęp może udowodnić swoją tożsamość za pomocą więcej niż jednego czynnika. Postura urządzenia dodaje, czy punkt końcowy, z którego się łączą, spełnia wymagania bezpieczeństwa. Uprawnienia następnie określają aplikacje lub systemy, do których konkretna kombinacja użytkownika + urządzenia powinna mieć dostęp.

NIST, europejskie regulacje i inni pionierzy cyberbezpieczeństwa poruszają Zasady Zero Trust Uwierzytelnianie użytkownika oraz zdrowie urządzenia i autoryzacja to odrębne funkcje wykonywane przed nawiązaniem nowego połączenia z zasobami zdalnymi, czasami niewidocznymi dla samych użytkowników.

Sprawdzanie postawy urządzenia jest zatem jednym z elementów wielowarstwowej strategii dostępu i z pewnością nie jest zastępstwem dla MFA, uprawnień ani ochrony po stronie serwera. Czytaj dalej tutaj dla naszego pokrycia Zero Trust w zakresie tożsamości, zaufania do urządzeń, minimalnych uprawnień i monitorowania.

Jak zespoły IT mogą zastosować zasady postawy urządzeń z TSplus?

Zastosowanie funkcji oprogramowania TSplus w celu wzmocnienia kontroli urządzeń

Wdrożenie TSplus jest w stanie połączyć kilka kontroli dotyczących decyzji o dostępie, podczas gdy głębsze kontrole zgodności punktów końcowych pozostają z pewnymi dedykowanymi narzędziami zaprojektowanymi do ich przeprowadzania.

TSplus Zdalny Dostęp zapewnia kontrolowany dostęp użytkowników do scentralizowanych aplikacji i pulpitów systemu Windows. Dodanie TSplus 2FA wzmacnia uwierzytelnianie użytkowników, wymagając hasła oraz opartego na czasie kodu weryfikacyjnego jednorazowego użytku dla obsługiwanych metod połączeń TSplus Remote Access.

TSplus Advanced Security dodaje dodatkową warstwę ochrony. Jego funkcja Zaufane Urządzenia może powiązać użytkowników z określonymi nazwami urządzeń i odrzucać logowania z nieprawidłowych. To zapewnia kontrolę dostępu z uwzględnieniem urządzeń. Inne TSplus Advanced Security funkcje warte zbadania w kontekście zarządzania urządzeniami.

Dalsze środki bezpieczeństwa do wdrożenia

Dalszy poziom ochrony pełnego silnika postury byłby dodatkowy do tych. Powinienem ocenić status poprawek, szyfrowanie dysku, stan EDR lub inne sygnały zgodności punktów końcowych.

Administratorzy systemów powinni również uwzględnić ograniczenia wdrożeniowe przy projektowaniu swoich polityk. Zaufane urządzenia nie są zgodne z połączeniami HTML5, a urządzenia mobilne mogą stwarzać dodatkowe ograniczenia w identyfikacji nazw hostów. Czynniki te mają znaczenie przy projektowaniu polityk dotyczących dostępu do sieci lub urządzeń mobilnych.

Głębsze informacje o stanie urządzenia mogą zatem pozostać w gestii zarządzania systemem Windows, EDR, zarządzania punktami końcowymi lub innych narzędzi zgodności. TSplus może następnie kontrolować, w jaki sposób uwierzytelnieni użytkownicy uzyskują dostęp do opublikowanych zasobów i chroni niektóre specyficzne dla serwera aplikacji aspekty bezpieczeństwa. Ta separacja pozwala zespołom IT budować warstwowe zabezpieczenia, nie zakładając, że tożsamość, stan punktu końcowego i dostarczanie aplikacji muszą pochodzić z tego samego systemu.

Widoczność sieci zapewniona przez oprogramowanie monitorujące TSplus

TSplus Server Monitoring dodaje widoczność po stronie infrastruktury, śledząc wydajność serwera, aplikacje i aktywność użytkowników. Nie przeprowadza oceny stanu urządzeń klienckich, ale może uzupełnić kontrole dostępu o monitorowanie operacyjne, gdy zdalne obciążenia są uruchomione. Nasza dokumentacja i nasz przewodnik do oprogramowanie do monitorowania pulpitu zdalnego i widoczność sesji podaj więcej szczegółów. Dodatkowo, nadzór (i blokowanie) IP wykonywane przez TSplus Advanced Security uzupełnia tę widoczność i ochronę.

Praktyczna lista kontrolna postawy urządzenia dla administratorów systemów

Polityka postawy zaczynająca się od niewielkiej liczby kontroli, które administratorzy mogą konsekwentnie egzekwować, z pewnością będzie łatwiejsza w obsłudze. W przypadku środowiska zdalnego dostępu zorientowanego na system Windows, rozważ następujące pytania:

Czy punkt końcowy działa na wspieranym i odpowiednio załatanym systemie operacyjnym?
Czy wymagany program antywirusowy, EDR lub inna wymagana ochrona punktu końcowego jest aktywna?
Czy podstawowe ustawienia zapory ogniowej i szyfrowania są skonfigurowane zgodnie z polityką firmy?
Czy punkt końcowy jest zarejestrowany jako rozpoznawane lub zarządzane urządzenie?
Czy punkt końcowy ma akceptowalny status zgodności lub zagrożenia?
Czy użytkownik jest chroniony przez odpowiednie kontrole uwierzytelniania?

Dokładny próg powinien odzwierciedlić wrażliwość zasobu i różnić się w konsekwencji. Sesje administracyjne powinny zazwyczaj spełniać surowsze wymagania niż zwykły dostęp do pojedynczej opublikowanej aplikacji biznesowej.

Zbuduj zaufanie do urządzeń w każdej decyzji dotyczącej zdalnego dostępu

Bezpieczeństwo dostępu zdalnego nie powinno kończyć się w momencie zaakceptowania hasła. Kontrole stanu urządzenia dostarczają informacji o stanie punktu końcowego i tożsamości, które są niezbędne do podjęcia decyzji o dostępie, pomagając administratorom systemów odróżnić legalne poświadczenia od źródła połączenia, które jest rzeczywiście bezpieczne do zaufania, od potencjalnego ryzyka bezpieczeństwa.

TSplus Remote Access, Advanced Security i 2FA mogą stanowić część tej warstwowej architektury, zapewniając kilka kontroli dostępu i tożsamości wokół tej decyzji. Tymczasem narzędzia do zarządzania punktami końcowymi i zabezpieczeń dostarczają głębsze sygnały dotyczące stanu urządzenia i zgodności, gdzie jest to wymagane.

Ostateczny wynik to znacznie bardziej obronny model decyzyjny, w którym zespół IT może oceniać użytkowników, urządzenia i zasoby wspólnie i zgodnie z ich rzeczywistym ryzykiem, nie tylko raz, ale w sposób cykliczny.