Verificări ale stării dispozitivului pentru Remote Access: Ce trebuie să știe echipele IT

În securitatea cibernetică, verificările stării dispozitivului servesc pentru a determina dacă un endpoint îndeplinește cerințele de securitate definite, atât înainte, cât și în timpul accesului la resursele companiei. Pentru administratorii de sistem care gestionează conexiuni la distanță, autentificarea reușită este doar o parte a deciziei. De fapt, astfel de verificări ridică întrebări esențiale de autentificare, de la „Este acesta utilizatorul corect?” la „Este acest dispozitiv suficient de de încredere pentru a se conecta?”, prin condițiile de conexiune și identitatea reală a dispozitivului.

Angajații la distanță pot autentifica folosind acreditive valide, dar se pot conecta de pe un computer neactualizat, neadministrat sau compromis, ceea ce face ca verificarea identității să fie necesară, dar clar insuficientă. Verificările stării dispozitivului ajută echipele IT să evalueze endpoint-ul în sine și să decidă dacă accesul ar trebui să fie acordat, restricționat sau refuzat.

Ce este un control al posturii dispozitivului pentru Remote Access?

O verificare a posturii dispozitivului evaluează starea de securitate a unui laptop, stație de lucru sau alt punct final în raport cu cerințele predefinite. Rezultatul servește pentru a determina dacă acel dispozitiv ar trebui să fie autorizat să acceseze aplicații, desktopuri sau alte resurse corporative.

O evaluare a posturii poate examina elemente precum versiunea sistemului de operare, starea criptării, protecția endpoint-urilor și identitatea dispozitivului. De exemplu, Microsoft descrie politicile de conformitate a dispozitivelor ca reguli utilizate pentru a determina dacă dispozitivele gestionate îndeplinesc configurațiile necesare înainte de a permite ca statutul lor de conformitate să fie utilizat pentru deciziile de acces.

Aceasta este semnificativ diferit de autentificarea utilizatorului. Creditele corecte dovedesc identitatea persoanei care se conectează. O verificare a posturii evaluează sistemul din care sunt prezentate aceste acreditive și dacă acesta îndeplinește cerințele de securitate ale organizației.

Pentru mediile Protocolului Desktop la Distanță, această distincție este foarte importantă. De exemplu: deși autorizat, un cont care se conectează de la un punct final nesigur este susceptibil să expună resursele la distanță la furtul de acreditive, malware sau acces neautorizat. Ghidul nostru pentru evaluarea securității unui computer expus prin Remote Desktop investighează postura endpoint-ului alături de expunerea rețelei și controalele contului.

Ce semnale ale dispozitivului ar trebui să verifice echipele IT?

Nu poate exista o politică unică de postură a dispozitivelor care să se potrivească tuturor. Semnalele ar trebui să fie selectate în funcție de resursele protejate, gestionarea și proprietatea dispozitivelor, precum și nivelul de risc asociat cu utilizatorul, aplicația sau datele implicate.

Starea sistemului de operare și a actualizărilor

Un endpoint care rulează un sistem de operare învechit sau care nu are actualizări de securitate prezintă un risc mai mare decât un workstation gestionat complet actualizat. Prin urmare, versiunile minime ale sistemului de operare și cerințele de patch-uri oferă verificări de bază utile.

În plus, politicile pot fi adaptate la tipul de acces necesar: mai stricte pentru scopuri administrative cu risc mai mare decât pentru utilizatorii obișnuiți de aplicații sau cei care accesează o aplicație specifică. Obiectivul nu este de a colecta fiecare atribut posibil al endpoint-ului, ci de a identifica condițiile care afectează în mod semnificativ dacă accesul ar trebui să fie de încredere.

Protecția endpoint, firewall și criptare

Verificările puternice ale stării dispozitivului vor evalua dacă protecția endpoint necesară este activată și dacă controalele, cum ar fi configurarea locală adecvată a firewall-ului și criptarea corespunzătoare a discului, sunt activate. Detectarea și răspunsul la endpoint (EDR), platformele de gestionare a endpoint-urilor și altele asemenea pot oferi informații suplimentare despre detectările de malware, nivelurile de amenințare sau conformitatea cu configurația.

Aceste semnale sunt deosebit de importante pentru laptopurile care funcționează în afara rețelei corporative. Un nume de utilizator și o parolă valide nu dezvăluie dacă protecția endpoint a fost dezactivată sau dacă dispozitivul continuă să raporteze corect către instrumentele de securitate ale organizației.

Identitatea dispozitivului, certificatele și starea managementului

În afară de sănătatea dispozitivului, trebuie abordate și alte întrebări: echipele IT ar putea avea nevoie să stabilească mai precis care dispozitiv se conectează.

Certificatul de dispozitiv, înregistrările de înscriere, identitatea gazdei și starea de gestionare pot ajuta la distingerea punctelor finale corporative cunoscute de computerele necunoscute sau neadministrate. Într-un mediu Bring Your Own Device (BYOD), aceasta creează o distincție importantă între „suficient de sănătos” și „autorizat”: un laptop personal sigur nu devine neapărat un dispozitiv corporativ aprobat.

Când ar trebui verificată postura dispozitivului?

Cel mai evident moment pentru a rula un protocol de verificare a dispozitivului este înainte de a începe accesul. Endpoint-ul furnizează informațiile relevante, care sunt apoi evaluate în raport cu cerințele, iar conexiunea este astfel permisă sau blocată în consecință.

Cu toate acestea, postura se poate schimba în timpul unei sesiuni de lungă durată. Astfel, pentru unele medii, un set de verificări este insuficient. Un dispozitiv poate ieși din conformitate, protecția endpoint poate opri sau telemetria de securitate poate identifica o nouă amenințare. Pentru a atenua acest fapt al unei sesiuni care ar putea depăși accesul justificat inițial, arhitecturile mai mature sprijină, prin urmare, reevaluarea periodică. De asemenea, acestea pot stabili decizii de acces declanșate de evenimente, mai degrabă decât să trateze autentificarea reușită ca dovadă permanentă de încredere.

Frecvența adecvată depinde de risc. Conturile administrative și aplicațiile sensibile pot justifica o validare mult mai frecventă decât resursele cu risc scăzut. Principiul important este că informațiile utilizate pentru a lua o decizie de acces nu ar trebui să rămână de încredere pe termen nelimitat, mai ales dacă un endpoint evoluează.

Ce ar trebui să se întâmple când un dispozitiv nu trece un control de conformitate?

Eșecul nu trebuie întotdeauna să conducă la același răspuns. Echipele IT ar trebui să decidă dinainte care eșecuri necesită blocare imediată și care pot fi corectate și, prin urmare, necesită remediere.

O politică practică poate:

• negați accesul pentru defecțiuni critice, cum ar fi atunci când protecția endpoint lipsește sau dacă un dispozitiv este găsit compromis;
• restricționează accesul atunci când starea dispozitivului este incertă sau nu poate fi verificată;
• informați utilizatorul care cerință a eșuat;
• direcționează endpointul printr-o actualizare, corectare sau remediere;
• înregistrează jurnalele evaluării eșuate pentru investigare; și
• testați și reevaluați dispozitivul înainte de a restabili accesul normal.

Răspunsul ar trebui să corespundă riscului. O actualizare lipsă sau o versiune învechită poate justifica remedierea, în timp ce dovezile unei compromiteri active ar trebui să declanșeze procedurile de izolare și răspuns la incidente.

TSplus Remote Support poate asista în această etapă. Tehnicienii de suport pot utiliza asistența la distanță asistată sau neasistată pentru a depana și remedia problemele endpoint atunci când este necesară intervenția administrativă.

Cum se integrează verificările stării dispozitivelor cu MFA și Zero Trust?

Postura dispozitivului, autentificarea multifactorială (MFA) și Zero Trust abordează întrebări legate, dar diferite.

MFA întreabă dacă persoana care solicită accesul poate dovedi identitatea prin mai mult de un factor. Poziția dispozitivului adaugă dacă punctul final de la care se conectează îndeplinește cerințele de securitate. Permisiunile determină apoi aplicațiile sau sistemele la care combinația specifică utilizator + dispozitiv ar trebui să aibă acces.

NIST, reglementarea europeană și altele, lideri în domeniul securității cibernetice abordează Principiile Zero Trust Autentificarea utilizatorului și sănătatea dispozitivului și autorizarea sunt funcții discrete efectuate înainte de a fi stabilită o nouă conexiune la resursele remote, uneori invizibile pentru utilizatori înșiși.

Verificările stării dispozitivului sunt, așadar, o componentă a unei strategii de acces stratificate și cu siguranță nu un înlocuitor pentru MFA, permisiuni sau protecție pe partea serverului. Continuă să citești aici pentru acoperirea noastră a Zero Trust în ceea ce privește identitatea, încrederea în dispozitive, privilegiul minim și monitorizare.

Cum pot echipele IT să aplice principiile de postură a dispozitivelor cu TSplus?

Aplicarea caracteristicilor software-ului TSplus pentru a întări verificările dispozitivelor

O implementare TSplus este capabilă să combine mai multe controale în jurul deciziei de acces, în timp ce verificările mai profunde de conformitate a punctelor finale rămân cu anumite instrumente dedicate concepute pentru a le efectua.

TSplus Remote Access oferă acces controlat utilizatorilor la aplicații și desktopuri Windows centralizate. Adăugarea TSplus 2FA întărește autentificarea utilizatorului prin cerința unei parole și a unui cod de verificare unică bazat pe timp pentru metodele de conectare TSplus Remote Access acceptate.

TSplus Advanced Security adaugă un alt strat de protecție. Funcția sa Trusted Devices poate asocia utilizatorii cu nume de dispozitive specificate și poate respinge autentificările de la cele invalide. Acest lucru oferă un control de acces conștient de dispozitive. Alte TSplus Advanced Security funcționalitățile merită explorate în periferia gestionării dispozitivelor.

Măsuri suplimentare de securitate de implementat

Nivelul suplimentar de protecție al unui motor de postură complet ar fi adițional față de acestea. Ar trebui să evaluez starea patch-urilor, criptarea discului, sănătatea EDR sau alte semnale de conformitate a endpoint-urilor.

Adminii de sistem ar trebui, de asemenea, să țină cont de limitările de implementare atunci când își proiectează politicile. Dispozitivele de încredere nu sunt compatibile cu conexiunile HTML5, iar dispozitivele mobile pot prezenta limitări suplimentare de identificare a numelui gazdelor. Acești factori sunt importanți atunci când se proiectează politici în jurul accesului web sau mobil.

Informațiile mai detaliate despre starea dispozitivului pot rămâne, prin urmare, responsabilitatea managementului Windows, EDR, managementului endpoint-urilor sau altor instrumente de conformitate. TSplus poate controla apoi modul în care utilizatorii autentificați accesează resursele publicate și protejează anumite aspecte de securitate specifice serverului de aplicații. Această separare permite echipelor IT să construiască o securitate stratificată fără a presupune că identitatea, starea endpoint-ului și livrarea aplicațiilor trebuie să provină toate din același sistem.

Vizibilitate a rețelei oferită de software-ul de monitorizare TSplus

TSplus Server Monitoring adaugă vizibilitate pe partea de infrastructură prin urmărirea performanței serverului, aplicațiilor și activității utilizatorilor. Nu efectuează evaluarea stării dispozitivelor client, dar poate completa controalele de acces cu monitorizarea operațională odată ce sarcinile de lucru la distanță sunt în execuție. Documentația noastră și ghidul nostru pentru software de monitorizare a desktopului la distanță și vizibilitate a sesiunii oferiți detalii suplimentare. De asemenea, supravegherea (și blocarea) IP efectuată de TSplus Advanced Security completează această vizibilitate și protecție.

O listă de verificare practică a posturii dispozitivului pentru administratori de sistem

O politică de postură care începe cu un număr mic de verificări pe care administratorii le pot aplica constant va fi cu siguranță mai ușor de operat. Pentru un mediu de acces de la distanță orientat către Windows, luați în considerare următoarele întrebări:

1. Este endpoint-ul care rulează un sistem de operare suportat și corect actualizat?
2. Este antivirusul, EDR-ul sau altă protecție endpoint necesară activă?
3. Sunt configurate setările esențiale de firewall și criptare în conformitate cu politica companiei?
4. Este endpoint-ul înregistrat ca un dispozitiv recunoscut sau gestionat?
5. Are endpointul are un statut de conformitate sau amenințare acceptabil?
6. Este utilizatorul protejat de controale de autentificare adecvate?

Pragul exact ar trebui reflecta sensibilitatea resursei și variază în consecință. Sesiunile administrative ar trebui, în mod normal, să se confrunte cu cerințe mai stricte decât accesul obișnuit la o singură aplicație de afaceri publicată.

Construiește încrederea dispozitivului în fiecare decizie de Remote Access

Securitatea accesului de la distanță nu ar trebui să se oprească atunci când o parolă este acceptată. Verificările stării dispozitivului oferă informații despre condiția și identitatea punctului final esențiale pentru decizia de acces, ajutând administratorii de sistem să distingă acreditivele legitime de o sursă de conexiune care este de fapt sigură de încredere de un potențial risc de securitate.

TSplus Remote Access, Advanced Security și 2FA pot face parte din acea arhitectură stratificată, oferind mai multe controale de acces și identitate în jurul acelei decizii. Între timp, instrumentele de gestionare a endpoint-urilor și cele de securitate oferă semnale mai profunde de sănătate a dispozitivului și conformitate, acolo unde este necesar.

Rezultatul final este un model de decizie mult mai defensibil în care echipa IT poate evalua utilizatorii, dispozitivele și resursele împreună și în funcție de riscul lor actual, nu doar o dată, ci pe o bază recurentă.