Проверка состояния устройства для безопасного Remote Access

В кибербезопасности проверки состояния устройства служат для определения того, соответствует ли конечное устройство установленным требованиям безопасности как до, так и во время доступа к ресурсам компании. Для системных администраторов, управляющих удаленными соединениями, успешная аутентификация является лишь частью решения. Действительно, такие проверки поднимают важные вопросы аутентификации, от "Это правильный пользователь?" до "Достаточно ли это устройство надежно для подключения?", через условия подключения и фактическую идентичность устройства.

Удаленные работники могут аутентифицироваться, используя действительные учетные данные, но при этом подключаться с непатченного, неуправляемого или скомпрометированного компьютера, что делает проверку личности необходимой, но явно недостаточной. Проверки состояния устройства помогают ИТ-командам оценить сам конечный пункт и решить, следует ли предоставить доступ, ограничить его или отказать.

Что такое проверка состояния устройства для удаленного доступа?

Проверка положения устройства оценивает состояние безопасности ноутбука, рабочей станции или другого конечного устройства в соответствии с заранее определенными требованиями. Результат служит для определения того, должно ли это устройство иметь доступ к приложениям, рабочим столам или другим корпоративным ресурсам.

Оценка состояния может включать такие элементы, как версия операционной системы, статус шифрования, защита конечных точек и идентификация устройства. Например, Microsoft описывает политики соответствия устройствам как правила, используемые для определения того, соответствуют ли управляемые устройства необходимым конфигурациям, прежде чем их статус соответствия будет использован для принятия решений о доступе.

Это значительно отличается от аутентификации пользователя. Правильные учетные данные подтверждают личность человека, подключающегося. Проверка состояния оценивает систему, из которой эти учетные данные предоставляются, и соответствует ли она требованиям безопасности организации.

Для сред, использующих протокол удаленного рабочего стола, это различие имеет большое значение. Например: хотя учетная запись и авторизована, подключение с незащищенного конечного устройства может подвергнуть удаленные ресурсы риску кражи учетных данных, вредоносного ПО или несанкционированного доступа. Наше руководство по оценка безопасности компьютера, подвергнутого воздействию через Remote Desktop исследует состояние конечных точек наряду с сетевым воздействием и контролем учетных записей.

Какие сигналы устройств должны проверять ИТ-команды?

Не может быть единой универсальной политики позиций устройств, подходящей для всех. Сигналы должны выбираться в зависимости от защищаемых ресурсов, управления устройствами и их принадлежности, а также уровня риска, связанного с пользователем, приложением или данными.

Состояние операционной системы и патчей

Эндпоинт, работающий на устаревшей операционной системе или без обновлений безопасности, представляет собой больший риск, чем полностью обновленная управляемая рабочая станция. Минимальные версии операционной системы и требования к патчам, следовательно, обеспечивают полезные базовые проверки.

Кроме того, политики могут быть адаптированы в зависимости от типа необходимого доступа: более строгие для административных целей с высоким риском, чем для обычных пользователей приложений или тех, кто получает доступ к одному конкретному приложению. Цель состоит не в том, чтобы собрать все возможные атрибуты конечной точки, а в том, чтобы определить условия, которые существенно влияют на то, следует ли доверять доступу.

Защита конечных точек, брандмауэр и шифрование

Сильные проверки состояния устройства будут оценивать, работает ли необходимая защита конечных точек и включены ли такие меры, как правильная локальная конфигурация брандмауэра и соответствующее шифрование диска. Платформы обнаружения и реагирования на конечные точки (EDR), платформы управления конечными точками и подобные могут предоставить дополнительную информацию о выявлении вредоносного ПО, уровнях угроз или соблюдении конфигурации.

Эти сигналы особенно важны для ноутбуков, работающих вне корпоративной сети. Действительное имя пользователя и пароль не указывают на то, отключена ли защита конечных точек или устройство по-прежнему правильно сообщает о себе инструментам безопасности организации.

Идентификация устройства, сертификаты и статус управления

Помимо состояния устройств, необходимо решить дополнительные вопросы: командам ИТ также может потребоваться более точно определить, какое устройство подключается.

Сертификаты устройств, записи о регистрации, идентичность хоста и статус управления могут помочь отличить известные корпоративные конечные точки от неизвестных или неуправляемых компьютеров. В среде "Принеси свое устройство" (BYOD) это создает важное различие между "достаточно здоровым" и "авторизованным": безопасный личный ноутбук не обязательно становится одобренным корпоративным устройством.

Когда следует проверять состояние устройства?

Самое очевидное время для запуска протокола проверки устройства — это перед началом доступа. Конечная точка предоставляет соответствующую информацию, которая затем оценивается в соответствии с требованиями, и соединение, следовательно, разрешается или блокируется соответственно.

Однако осанка может изменяться в течение длительной сессии. Таким образом, для некоторых сред одного набора проверок недостаточно. Устройство может выйти из соответствия, защита конечных точек может остановиться или телеметрия безопасности может выявить новую угрозу. Чтобы смягчить этот факт о том, что сессия потенциально может пережить первоначально обоснованный доступ, более зрелые архитектуры, следовательно, поддерживают периодическую переоценку. Они также могут устанавливать решения о доступе, основанные на событиях, вместо того чтобы рассматривать успешный вход в систему как постоянное доказательство доверия.

Подходящая частота зависит от риска. Административные учетные записи и чувствительные приложения могут оправдывать гораздо более частую проверку, чем ресурсы с низким риском. Важный принцип заключается в том, что информация, используемая для принятия решения о доступе, не должна оставаться доверенной на неопределенный срок, особенно если конечная точка развивается.

Что должно произойти, если устройство не прошло проверку соответствия?

Неудача не всегда должна приводить к одинаковой реакции. ИТ-команды должны заранее определить, какие сбои требуют немедленной блокировки, а какие могут быть исправлены и, следовательно, требуют устранения.

Практическая политика может:

отказать в доступе при критических сбоях, таких как отсутствие защиты конечных точек или если устройство оказалось скомпрометированным;
ограничить доступ, когда статус устройства неясен или не может быть подтвержден;
сообщите пользователю, какое требование не выполнено;
направьте конечную точку через обновление, патч или восстановление;
записывает журналы неудачной оценки для расследования; и
проверьте и переоцените устройство перед восстановлением нормального доступа.

Ответ должен соответствовать риску. Отсутствие патча или устаревшая версия могут оправдать исправление, в то время как доказательства активного компрометации должны вызвать изоляцию и процедуры реагирования на инциденты.

TSplus Remote Support может помочь на этом этапе. Технические специалисты могут использовать управляемую или неуправляемую удаленную помощь для устранения неполадок и решения проблем с конечными устройствами, когда требуется административное вмешательство.

Как проверки состояния устройства сочетаются с MFA и нулевым доверием?

Положение устройства, многофакторная аутентификация (MFA) и Нулевая доверие решают связанные, но разные вопросы.

MFA запрашивает, может ли лицо, запрашивающее доступ, подтвердить свою личность с помощью более чем одного фактора. Положение устройства добавляет информацию о том, соответствует ли конечная точка, с которой они подключаются, требованиям безопасности. Разрешения затем определяют приложения или системы, к которым конкретная комбинация пользователя и устройства должна иметь доступ.

NIST, европейское регулирование и другие пионеры кибербезопасности обсуждают Принципы нулевой доверия Аутентификация пользователя и проверка состояния устройства и авторизация — это отдельные функции, выполняемые перед установлением нового соединения с удаленными ресурсами, иногда невидимыми для самих пользователей.

Проверка состояния устройства, таким образом, является одним из компонентов многоуровневой стратегии доступа и определенно не заменяет MFA, разрешения или защиту на стороне сервера. Читайте далее здесь для нашего покрытия Zero Trust в области идентичности, доверия к устройствам, минимальных привилегий и мониторинга.

Как ИТ-команды могут применять принципы постуры устройств с TSplus?

Применение функций программного обеспечения TSplus для усиления проверки устройств

Развертывание TSplus может объединить несколько контролей вокруг решения о доступе, в то время как более глубокие проверки соответствия конечных точек остаются с определенными специализированными инструментами, предназначенными для их выполнения.

TSplus Удаленный доступ обеспечивает контролируемый доступ пользователей к централизованным приложениям и рабочим столам Windows. Добавление TSplus 2FA усиливает аутентификацию пользователей, требуя пароль и временный одноразовый код проверки для поддерживаемых методов подключения TSplus Remote Access.

TSplus Advanced Security добавляет еще один уровень защиты. Его функция Доверенные устройства может связывать пользователей с указанными именами устройств и отклонять входы с недействительных. Это обеспечивает контроль доступа с учетом устройств. Другие TSplus Advanced Security функции стоит изучить в периферии управления устройствами.

Дополнительные меры безопасности для реализации

Дополнительный уровень защиты полного движка позы будет добавлен к этим. Я должен оценить статус патчей, шифрование диска, состояние EDR или другие сигналы соответствия конечной точки.

Системные администраторы также должны учитывать ограничения развертывания при разработке своих политик. Доверенные устройства несовместимы с соединениями HTML5, а мобильные устройства могут представлять дополнительные ограничения по идентификации имени хоста. Эти факторы важны при разработке политик для веб- или мобильного доступа.

Более глубокая информация о состоянии устройств, таким образом, может оставаться в ответственности управления Windows, EDR, управления конечными точками или других инструментов соблюдения. TSplus затем может контролировать, как аутентифицированные пользователи получают доступ к опубликованным ресурсам и защищает определенные аспекты безопасности, специфичные для серверов приложений. Это разделение позволяет ИТ-командам строить многослойную безопасность, не предполагая, что идентификация, состояние конечных точек и доставка приложений должны исходить из одной и той же системы.

Сетевое видение, предоставляемое программным обеспечением мониторинга TSplus

TSplus Server Monitoring добавляет видимость на стороне инфраструктуры, отслеживая производительность серверов, приложения и активность пользователей. Он не выполняет оценку состояния клиентских устройств, но может дополнить контроль доступа операционным мониторингом, как только удаленные рабочие нагрузки запущены. Наша документация и наше руководство к программное обеспечение для мониторинга удаленного рабочего стола и видимости сеансов предоставьте дополнительные детали. Также IP-наблюдение (и блокировка), выполняемое TSplus Advanced Security, дополняет эту видимость и защиту.

Практический контрольный список позы устройства для системных администраторов

Политика позы, начинающаяся с небольшого количества проверок, которые администраторы могут последовательно применять, определенно будет проще в эксплуатации. Для ориентированной на Windows среды удаленного доступа рассмотрите следующие вопросы:

Запущена ли на конечном устройстве поддерживаемая и должным образом обновленная операционная система?
Активен ли необходимый антивирус, EDR или другая необходимая защита конечных точек?
Настроены ли основные параметры брандмауэра и шифрования в соответствии с политикой компании?
Записано ли конечное устройство как признанное или управляемое?
Имеет ли конечное устройство приемлемый статус соответствия или угрозы?
Пользователь защищен соответствующими средствами аутентификации?

Точный порог должен отразить чувствительность ресурса и варьироваться соответственно. Административные сеансы должны обычно сталкиваться с более строгими требованиями, чем обычный доступ к одному опубликованному бизнес-приложению.

Внедрите доверие к устройству в каждое решение о удаленном доступе

Безопасность удаленного доступа не должна прекращаться после принятия пароля. Проверки состояния устройства предоставляют информацию о состоянии конечной точки и идентичности, необходимую для принятия решения о доступе, помогая системным администраторам различать законные учетные данные с источником подключения, которому действительно можно доверять, от потенциального риска безопасности.

TSplus Remote Access, Advanced Security и 2FA могут составлять часть этой многослойной архитектуры, обеспечивая несколько средств управления доступом и идентификацией вокруг этого решения. Тем временем инструменты управления конечными точками и безопасности предоставляют более глубокие сигналы о состоянии устройств и соблюдении требований, где это необходимо.

Конечный результат представляет собой более защищенную модель принятия решений, в которой команда ИТ может совместно оценивать пользователей, устройства и ресурсы в соответствии с их фактическим риском, а не только один раз, а на постоянной основе.