Kontrola postúry zariadení pre Remote Access: Čo potrebujú vedieť IT tímy

V kybernetickej bezpečnosti kontroly postúry zariadení slúžia na určenie, či koncový bod spĺňa definované bezpečnostné požiadavky, a to pred aj počas prístupu k firemným zdrojom. Pre sysadminov spravujúcich vzdialené pripojenia je úspešná autentifikácia len časťou rozhodovania. Tieto kontroly skutočne vyvolávajú zásadné otázky autentifikácie, od „Je to správny používateľ?“ po „Je toto zariadenie dostatočne dôveryhodné na pripojenie?“, prostredníctvom podmienok pripojenia a skutočnej identity zariadenia.

Remote pracovníci sa môžu autentifikovať pomocou platných poverení, aj keď sa pripájajú z neopravenej, neadministratívnej alebo kompromitovanej počítača, čo robí overenie identity nevyhnutným, ale zjavne nedostatočným. Kontroly stavu zariadenia pomáhajú IT tímom posúdiť samotný koncový bod a rozhodnúť, či by mal byť prístup povolený, obmedzený alebo zamietnutý.

Čo je kontrola postúry zariadenia pre vzdialený prístup?

Kontrola postúry zariadenia hodnotí bezpečnostný stav prenosného počítača, pracovnej stanice alebo iného koncového zariadenia v porovnaní s preddefinovanými požiadavkami. Výsledok slúži na určenie, či by tomu zariadeniu malo byť povolené pristupovať k aplikáciám, desktopom alebo iným firemným zdrojom.

Hodnotenie postúpy môže skúmať položky ako verzia operačného systému, stav šifrovania, ochrana koncových bodov a identita zariadenia. Napríklad, Microsoft popisuje politiky súladu zariadení ako pravidlá používané na určenie, či spravované zariadenia spĺňajú požadované konfigurácie predtým, ako sa ich stav zhody použije na rozhodovanie o prístupe.

Toto sa výrazne líši od autentifikácie používateľa. Správne poverenia dokazujú identitu osoby, ktorá sa pripája. Kontrola postoja hodnotí systém, z ktorého sú tieto poverenia predkladané, a či spĺňa bezpečnostné požiadavky organizácie.

Pre prostredia protokolu Remote Desktop je tento rozdiel veľmi dôležitý. Napríklad: hoci je autorizovaný, účet, ktorý sa pripája z nezabezpečeného koncového bodu, môže vystaviť vzdialené zdroje krádeži poverení, malvéru alebo neoprávnenému prístupu. Náš sprievodca k hodnotenie bezpečnosti počítača vystaveného prostredníctvom Remote Desktop vyšetruje postavenie koncových bodov spolu s vystavením siete a kontrolami účtov.

Aké signály zariadení by mali IT tímy skontrolovať?

Nemôže existovať jedna univerzálna politika postavenia zariadenia, ktorá by vyhovovala všetkým. Signály by sa mali vyberať podľa chránených zdrojov, správy a vlastníctva zariadenia a úrovne rizika spojeného s používateľom, aplikáciou alebo zapojenými údajmi.

Stav operačného systému a opráv

Koncový bod, ktorý beží na zastaranom operačnom systéme alebo mu chýbajú bezpečnostné aktualizácie, predstavuje väčšie riziko ako plne opravená spravovaná pracovná stanica. Minimálne verzie operačného systému a požiadavky na opravy preto poskytujú užitočné základné kontroly.

Okrem toho je možné prispôsobiť politiky typu požadovaného prístupu: prísnejšie pre administratívne účely s vyšším rizikom ako pre bežných používateľov aplikácií alebo tých, ktorí pristupujú k jednej konkrétnej aplikácii. Cieľom nie je zhromaždiť každý možný atribút koncového bodu, ale identifikovať podmienky, ktoré podstatne ovplyvňujú, či by sa prístup mal považovať za dôveryhodný.

Ochrana koncových bodov, firewall a šifrovanie

Silné kontroly zdravia zariadení vyhodnotia, či je spustená požadovaná ochrana koncových bodov a či sú povolené kontroly, ako je vhodná konfigurácia miestneho firewallu a správne šifrovanie disku. Platformy na detekciu a reakciu na koncové body (EDR), platformy na správu koncových bodov a podobné môžu poskytnúť ďalšie informácie o detekciách malvéru, úrovniach hrozieb alebo súlade s konfiguráciou.

Tieto signály sú obzvlášť dôležité pre prenosné počítače, ktoré fungujú mimo firemnej siete. Platné používateľské meno a heslo neodhalia, či bola ochrana koncových bodov vypnutá alebo či zariadenie stále správne hlási organizácii bezpečnostné nástroje.

Identita zariadenia, certifikáty a stav správy

Okrem zdravia zariadenia je potrebné riešiť ďalšie otázky: IT tímy môžu tiež potrebovať presnejšie určiť, ktoré zariadenie sa pripája.

Certifikáty zariadení, záznamy o registrácii, identita hostiteľa a stav správy môžu pomôcť rozlíšiť známe firemné koncové body od neznámych alebo nesprávne spravovaných počítačov. V prostredí Bring Your Own Device (BYOD) to vytvára dôležité rozlíšenie medzi „dostatočne zdravým“ a „autorizovaným“: zabezpečený osobný laptop sa nemusí nevyhnutne stať schváleným firemným zariadením.

Kedy by sa mala kontrolovať postura zariadenia?

Najzjavnejší čas na spustenie protokolu overovania zariadenia je pred začiatkom prístupu. Koncový bod poskytuje relevantné informácie, ktoré sú následne vyhodnotené v súvislosti s požiadavkami, a pripojenie je následne povolené alebo zablokované podľa toho.

Avšak, postoj sa môže počas dlhého trvania relácie zmeniť. Preto pre niektoré prostredia jeden súbor kontrol nestačí. Zariadenie môže prestať spĺňať požiadavky, ochrana koncových bodov môže zastaviť alebo bezpečnostná telemetria môže identifikovať novú hrozbu. Aby sa zmiernila skutočnosť, že relácia môže potenciálne prežiť pôvodne oprávnený prístup, zrelšie architektúry preto podporujú periodické prehodnocovanie. Môžu podobne nastaviť rozhodovanie o prístupe na základe udalostí, namiesto toho, aby považovali úspešné prihlásenie za trvalý dôkaz dôvery.

Príslušná frekvencia závisí od rizika. Administratívne účty a citlivé aplikácie môžu ospravedlniť oveľa častejšiu validáciu ako zdroje s nízkym rizikom. Dôležitým princípom je, že informácie použité na rozhodovanie o prístupe by nemali zostať dôveryhodné na neurčito, najmä ak sa koncový bod vyvíja.

Čo by sa malo stať, keď zariadenie zlyhá pri kontrole postúry?

Zlyhanie nemusí vždy viesť k rovnakej reakcii. IT tímy by mali vopred rozhodnúť, ktoré zlyhania si vyžadujú okamžité zablokovanie a ktoré môžu byť opravené a preto si vyžadujú nápravu.

Praktická politika môže:

• odmietnuť prístup pri kritických zlyhaniach, ako keď chýba ochrana koncových bodov alebo ak je zistené, že je zariadenie kompromitované;
• obmedziť prístup, keď je stav zariadenia nejasný alebo ho nie je možné overiť;
• informujte používateľa, ktorá požiadavka zlyhala;
• priamo nasmerujte koncový bod prostredníctvom aktualizácie, opravy alebo nápravy;
• zaznamenáva protokoly o neúspešnom hodnotení na vyšetrenie; a
• otestujte a znovu vyhodnoťte zariadenie pred obnovením normálneho prístupu.

Odpoveď by mala zodpovedať riziku. Chýbajúca oprava alebo zastaraná verzia môže ospravedlniť nápravu, zatiaľ čo dôkazy o aktívnom narušení by mali spustiť izoláciu a postupy reakcie na incidenty.

TSplus Remote Support môže v tejto fáze pomôcť. Podporní technici môžu použiť asistenciu na diaľku s prítomnosťou alebo bez prítomnosti na riešenie a odstránenie problémov s koncovými bodmi, keď je potrebná administratívna intervencia.

Ako zapadajú kontroly postúry zariadení do MFA a Zero Trust?

Postura zariadenia, viacfaktorová autentifikácia (MFA) a Zero Trust sa zaoberajú príbuznými, ale rôznymi otázkami.

MFA sa pýta, či osoba žiadajúca o prístup môže preukázať svoju identitu prostredníctvom viac ako jedného faktora. Postoj zariadenia pridáva, či koncový bod, z ktorého sa pripájajú, spĺňa bezpečnostné požiadavky. Oprávnenia potom určujú aplikácie alebo systémy, ku ktorým by mala byť konkrétna kombinácia používateľa a zariadenia povolená.

NIST, európske predpisy a iní priekopníci kybernetickej bezpečnosti sa zaoberajú Princípy Zero Trust Autentifikácia používateľa a zdravie zariadenia a autorizácia sú samostatné funkcie vykonávané pred nadviazaním nového pripojenia k vzdialeným zdrojom, ktoré sú niekedy používateľom neviditeľné.

Kontrola postúpy zariadení je preto jednou zložkou stratégií prístupových vrstiev a určite nie náhradou za MFA, oprávnenia alebo ochranu na strane servera. Čítajte ďalej tu pre naše pokrytie Zero Trust v oblasti identity, dôvery v zariadenia, minimálnych oprávnení a monitorovania.

Ako môžu IT tímy aplikovať princípy postúry zariadení s TSplus?

Aplikovanie funkcií softvéru TSplus na posilnenie kontrol zariadení

Nasadenie TSplus dokáže skombinovať niekoľko kontrol okolo rozhodovania o prístupe, zatiaľ čo hlbšie kontroly súladu s koncovými bodmi zostávajú s určitými špeciálnymi nástrojmi navrhnutými na ich vykonávanie.

TSplus Remote Access poskytuje kontrolovaný prístup používateľov k centralizovaným aplikáciám a desktopom Windows. Pridanie TSplus 2FA posilňuje autentifikáciu používateľov tým, že vyžaduje heslo a časovo založený jednorazový overovací kód pre podporované metódy pripojenia TSplus Remote Access.

TSplus Advanced Security pridáva ďalšiu ochrannú vrstvu. Jeho funkcia Dôveryhodné zariadenia môže priradiť používateľov k určeným názvom zariadení a odmietnuť prihlásenia z neplatných zariadení. To poskytuje prístupovú kontrolu založenú na zariadeniach. Iné TSplus Advanced Security funkcie stoja za preskúmanie v periférii správy zariadení.

Ďalšie bezpečnostné opatrenia na implementáciu

Ďalšia úroveň ochrany kompletného motora postúry by bola dodatočná k týmto. Mal by som posúdiť stav záplat, šifrovanie disku, zdravie EDR alebo iné signály súladu s koncovými bodmi.

Sysadmini by mali tiež zohľadniť obmedzenia nasadenia pri navrhovaní svojich politík. Dôveryhodné zariadenia nie sú kompatibilné s pripojeniami HTML5 a mobilné zariadenia môžu predstavovať ďalšie obmedzenia identifikácie názvov hostiteľov. Tieto faktory sú dôležité pri navrhovaní politík týkajúcich sa webového alebo mobilného prístupu.

Hlbšie informácie o zdraví zariadenia môžu preto zostať zodpovednosťou správy systému Windows, EDR, správy koncových bodov alebo iných nástrojov na dodržiavanie predpisov. TSplus potom môže kontrolovať, ako sa autentifikovaní používatelia dostanú k publikovaným zdrojom a chráni určité bezpečnostné aspekty špecifické pre aplikačné servery. Toto oddelenie umožňuje IT tímom budovať vrstvenú bezpečnosť bez predpokladu, že identita, zdravie koncových bodov a dodávka aplikácií musia pochádzať zo systému.

Viditeľnosť siete poskytovaná softvérom na monitorovanie TSplus

TSplus Server Monitoring pridáva viditeľnosť na strane infraštruktúry sledovaním výkonu servera, aplikácií a aktivity používateľov. Nevykonáva hodnotenie stavu klientských zariadení, ale môže doplniť prístupové kontroly s prevádzkovým monitorovaním, keď sú spustené vzdialené pracovné zaťaženia. Naša dokumentácia a náš sprievodca k softvér na monitorovanie vzdialených desktopov a viditeľnosť relácií poskytnúť ďalšie podrobnosti. Taktiež dohľad nad IP (a blokovanie) vykonávaný TSplus Advanced Security dopĺňa túto viditeľnosť a ochranu.

Praktický kontrolný zoznam polohy zariadenia pre sysadminov

Politika postavenia začínajúca s malým počtom kontrol, ktoré môžu administrátori dôsledne vynucovať, bude určite jednoduchšia na prevádzku. Pre prostredie vzdialeného prístupu orientované na Windows zvážte nasledujúce otázky:

1. Beží na koncovej stanici podporovaný a adekvátne opravený operačný systém?
2. Je aktívny požadovaný antivírus, EDR alebo iná požadovaná ochrana koncových bodov?
3. Sú základné nastavenia firewallu a šifrovania nakonfigurované v súlade s firemnou politikou?
4. Je koncový bod zaznamenaný ako uznané alebo spravované zariadenie?
5. Má koncový bod prijateľný stav súladu alebo hrozby?
6. Je používateľ chránený vhodnými autentifikačnými kontrolami?

Presná hranica by mala odrážať citlivosť zdroja a variť v dôsledku. Administratívne relácie by mali normálne čeliť prísnejším požiadavkám ako bežný prístup k jednej publikovanej obchodnej aplikácii.

Vytvorte dôveru zariadenia v každom rozhodnutí o vzdialenom prístupe

Bezpečnosť vzdialeného prístupu by sa nemala zastaviť, keď je heslo prijaté. Kontroly stavu zariadenia poskytujú informácie o stave koncových bodov a identite, ktoré sú nevyhnutné pre rozhodovanie o prístupe, a pomáhajú systémovým administrátorom rozlíšiť legitímne poverenia od zdroja pripojenia, ktorý je skutočne bezpečný na dôverovanie, od potenciálneho bezpečnostného rizika.

TSplus Remote Access, Advanced Security a 2FA môžu tvoriť súčasť tejto vrstvenej architektúry, poskytujúc niekoľko prístupových a identifikačných kontrol okolo tohto rozhodnutia. Medzitým nástroje na správu a zabezpečenie koncových bodov poskytujú hlbšie signály o zdraví zariadenia a súlade, kde je to potrebné.

Konečným výsledkom je celkovo obhájiteľnejší model rozhodovania, v ktorom môže IT tím spoločne hodnotiť používateľov, zariadenia a zdroje na základe ich skutočného rizika, nielen raz, ale na opakujúcej sa báze.