Enhetens ställningskontroller för säker fjärråtkomst

Inom cybersäkerhet används enhetskontroller för att avgöra om en slutpunkt uppfyller definierade säkerhetskrav, både innan och under åtkomst till företagets resurser. För systemadministratörer som hanterar fjärranslutningar är framgångsrik autentisering endast en del av beslutet. Faktum är att sådana kontroller väcker viktiga autentiseringsfrågor, från "Är detta rätt användare?" till "Är denna enhet tillräckligt pålitlig för att ansluta?", via anslutningsvillkor och faktisk enhetsidentitet.

Fjärrarbetare kan autentisera sig med giltiga referenser men ansluta från en icke-patchad, icke-hanterad eller komprometterad dator, vilket gör identitetsverifiering nödvändig men uppenbarligen otillräcklig. Kontroll av enhetens status hjälper IT-team att bedöma slutpunkten själv och avgöra om åtkomst ska beviljas, begränsas eller nekas.

Vad är en enhetsställningskontroll för Remote Access?

En enhetsställningskontroll utvärderar säkerhetsstatusen för en bärbar dator, arbetsstation eller annan slutpunkt mot fördefinierade krav. Resultatet används för att avgöra om den enheten ska tillåtas att nå applikationer, skrivbord eller andra företagsresurser.

En bedömning av ställning kan undersöka saker som operativsystemversion, krypteringsstatus, endpoint-skydd och enhetsidentitet. Till exempel beskriver Microsoft enhetens efterlevnadspolicyer som regler som används för att avgöra om hanterade enheter uppfyller nödvändiga konfigurationer innan deras efterlevnadsstatus används för åtkomstbeslut.

Detta skiljer sig markant från användarautentisering. Korrekt autentiseringsinformation bekräftar identiteten på den person som ansluter. En hållningskontroll utvärderar systemet från vilket dessa autentiseringsuppgifter presenteras och om det uppfyller organisationens säkerhetskrav.

För Remote Desktop Protocol-miljöer är den skillnaden mycket viktig. Till exempel: även om den är auktoriserad, är ett konto som ansluter från en osäker slutpunkt benäget att utsätta fjärrresurser för stöld av autentiseringsuppgifter, skadlig programvara eller obehörig åtkomst. Vår guide till bedömning av säkerheten för en dator som exponeras genom Remote Desktop undersöker slutpunktsställning tillsammans med nätverksutexponering och kontroller av konton.

Vilka enhetssignaler bör IT-team kontrollera?

Det kan inte finnas en enda universell enhetspolicy som passar alla. Signaler bör väljas utifrån de resurser som skyddas, enhetshantering och ägande, samt den risknivå som är kopplad till användaren, applikationen eller de involverade uppgifterna.

Operativsystem och patchstatus

En enhet som kör ett föråldrat operativsystem eller saknar säkerhetsuppdateringar utgör en större risk än en fullt uppdaterad hanterad arbetsstation. Minimioperativsystemversioner och patchkrav ger därför användbara grundläggande kontroller.

Dessutom kan policyer anpassas efter den typ av åtkomst som krävs: striktare för högre risker vid administrativa syften än för vanliga applikationsanvändare eller de som får åtkomst till en specifik applikation. Målet är inte att samla in varje möjligt slutpunktsattribut, utan att identifiera villkor som väsentligt påverkar huruvida åtkomst bör betraktas som betrodd.

Endpointsskydd, brandvägg och kryptering

Starka enhetshälsokontroller kommer att utvärdera om nödvändig endpoint-skydd är aktiv och om kontroller som lämplig lokal brandväggskonfiguration och korrekt disk-kryptering är aktiverade. Endpoint Detection and Response (EDR), plattformar för enhetshantering och liknande kan ge ytterligare information om malware-detektioner, hotnivåer eller konfigurationsöverensstämmelse.

Dessa signaler är särskilt viktiga för bärbara datorer som arbetar utanför det företagsnätverk. Ett giltigt användarnamn och lösenord avslöjar inte om endpoint-skyddet har inaktiverats eller om enheten fortfarande rapporterar korrekt till organisationens säkerhetsverktyg.

Enhetsidentitet, certifikat och hanteringsstatus

Utöver enhetens hälsa behöver ytterligare frågor behandlas: IT-team kan också behöva fastställa mer exakt vilken enhet som ansluter.

Enhetscertifikat, registreringsposter, värdidentitet och hanteringsstatus kan hjälpa till att särskilja kända företagsenheter från okända eller ohanterade datorer. I en Bring Your Own Device (BYOD) miljö skapar detta en viktig åtskillnad mellan "tillräckligt friska" och "auktoriserade": en säker personlig bärbar dator blir inte nödvändigtvis en godkänd företagsenhet.

När ska enhetens ställning kontrolleras?

Det mest uppenbara tillfället att köra ett enhetsverifieringsprotokoll är innan åtkomsten börjar. Slutpunkten tillhandahåller den relevanta informationen, som sedan utvärderas i förhållande till kraven, och anslutningen tillåts eller blockeras därefter.

Dock kan hållningen förändras under en lång session. Därför är en uppsättning kontroller otillräcklig för vissa miljöer. En enhet kan hamna utanför överensstämmelse, endpoint-skydd kan sluta fungera eller säkerhetstelemetri kan identifiera ett nytt hot. För att mildra detta faktum att en session potentiellt kan överleva ursprungligt berättigad åtkomst, stödjer mer mogna arkitekturer därför periodisk omvärdering. De kan på liknande sätt ställa in händelseutlösta åtkomstbeslut istället för att behandla en lyckad inloggning som permanent bevis på förtroende.

Den lämpliga frekvensen beror på risk. Administrativa konton och känsliga applikationer kan motivera mycket mer frekvent validering än resurser med låg risk. Den viktiga principen är att den information som används för att fatta ett åtkomstbeslut inte bör förbli betrodd på obestämd tid, särskilt om en endpoint utvecklas.

Vad ska hända när en enhet misslyckas med en hållningskontroll?

Misslyckande behöver inte alltid leda till samma respons. IT-team bör i förväg bestämma vilka misslyckanden som kräver omedelbar blockering och vilka som kan rättas till och därför kräver åtgärd.

En praktisk policy kan:

neka åtkomst för kritiska fel såsom när endpoint-skydd saknas eller om en enhet befinns vara komprometterad;
begränsa åtkomst när enhetens status är osäker eller inte kan verifieras;
informera användaren om vilken krav som har misslyckats;
dirigera slutpunkten genom en uppdatering, patchning eller åtgärd;
registrera loggar den misslyckade bedömningen för utredning; och
testa och utvärdera enheten innan normal åtkomst återställs.

Svaret bör motsvara risken. En saknad patch eller en föråldrad version kan motivera åtgärder, medan bevis på aktiv kompromiss bör utlösa isolering och incidenthanteringsprocedurer.

TSplus Remote Support kan hjälpa till i detta skede. Supporttekniker kan använda närstående eller oövervakad fjärrhjälp för att felsöka och åtgärda problem med slutpunkter när administrativ intervention krävs.

Hur passar enhetskontroller med MFA och Zero Trust?

Enhetsstatus, multifaktorautentisering (MFA) och Zero Trust tar itu med relaterade men olika frågor.

MFA frågar om personen som begär åtkomst kan bevisa sin identitet genom mer än en faktor. Enhetens status lägger till huruvida slutpunkten från vilken de ansluter uppfyller säkerhetskraven. Behörigheter avgör sedan vilka applikationer eller system som den specifika användar- och enhetskombinationen ska få nå.

NIST, europeisk reglering och andra cybersäkerhetsföregångare tar upp Zero Trust-principer Användarautentisering och enhetshälsa samt auktorisering är distinkta funktioner som utförs innan en ny anslutning etableras till fjärrresurser som ibland är osynliga för användarna själva.

Enhetskontroller är därför en komponent i en lagerbaserad åtkomststrategi och är definitivt inte en ersättning för MFA, behörigheter eller skydd på serversidan. Läs vidare här för vår täckning av Zero Trust inom identitet, enhetstro, minimiåtkomst och övervakning.

Hur kan IT-team tillämpa principer för enhetsställning med TSplus?

Tillämpa TSplus mjukvarufunktioner för att förstärka enhetskontroller

En TSplus-installation kan kombinera flera kontroller kring åtkomstbeslutet medan djupare efterlevnadskontroller av slutpunkter förblir med vissa dedikerade verktyg som är utformade för att utföra dem.

TSplus Remote Access ger kontrollerad användartillgång till centraliserade Windows-applikationer och skrivbord. Att lägga till TSplus 2FA stärker användarautentisering genom att kräva ett lösenord och en tidsbaserad engångsverifieringskod för stödda TSplus Remote Access-anslutningsmetoder.

TSplus Advanced Security lägger till ett ytterligare skyddslager. Dess funktion för betrodda enheter kan koppla användare till angivna enhetsnamn och avvisa inloggningar från ogiltiga enheter. Detta ger enhetsmedveten åtkomstkontroll. Andra TSplus Advanced Security funktioner är värda att utforska i periferin av enhetsadministration.

Ytterligare säkerhetsåtgärder att genomföra

Den ytterligare skyddsnivån för en komplett ställningsmotor skulle vara ytterligare till dessa. Jag bör bedöma patchstatus, disk-kryptering, EDR-hälsa eller andra signaler för efterlevnad av slutpunkter.

Systemadministratörer bör också ta hänsyn till distributionsbegränsningar när de utformar sina policyer. Betrodda enheter är inte kompatibla med HTML5-anslutningar, och mobila enheter kan medföra ytterligare begränsningar för värdnamnsidentifiering. Dessa faktorer är viktiga när man utformar policyer för webb- eller mobilåtkomst.

Djupare enhetsinformation om hälsa kan därför förbli ansvaret för Windows-hantering, EDR, enhetshantering eller andra efterlevnadsverktyg. TSplus kan då kontrollera hur autentiserade användare når publicerade resurser och skyddar vissa säkerhetsaspekter som är specifika för applikationsservrar. Denna separation gör att IT-team kan bygga lager av säkerhet utan att anta att identitet, enhetshälsa och applikationsleverans måste komma från samma system.

Nätverksinsyn som tillhandahålls av TSplus övervakningsprogramvara

TSplus Server Monitoring ger insyn i infrastrukturen genom att spåra serverprestanda, applikationer och användaraktivitet. Det utför ingen bedömning av klientenhetens status, men det kan komplettera åtkomstkontroller med operationell övervakning när fjärrarbetsbelastningar körs. Vår dokumentation och vår guide till programvara för övervakning av fjärrskrivbord och sessionssynlighet ge ytterligare information. Dessutom kompletterar den IP-övervakning (och blockering) som utförs av TSplus Advanced Security denna synlighet och skydd.

En praktisk enhetsinställningschecklista för systemadministratörer

En policy för hållning som börjar med ett litet antal kontroller som administratörer konsekvent kan genomdriva kommer säkert att vara lättare att hantera. För en Windows-orienterad fjärråtkomstmiljö, överväg följande frågor:

Kör slutpunkten ett stödd och tillräckligt uppdaterat operativsystem?
Är den nödvändiga antivirusprogramvaran, EDR eller annan nödvändig endpoint-skydd aktiv?
Är viktiga brandväggs- och krypteringsinställningar konfigurerade i enlighet med företagets policy?
Är slutpunkten registrerad som en erkänd eller hanterad enhet?
Har slutpunkten en acceptabel efterlevnads- eller hotstatus?
Är användaren skyddad av lämpliga autentiseringskontroller?

Den exakta tröskeln bör reflektera känsligheten hos resursen och variera i konsekvens. Administrativa sessioner bör normalt ställas inför strängare krav än vanlig åtkomst till en enda publicerad affärsapplikation.

Bygg enhetstro i varje beslut om fjärråtkomst

Säkerheten för fjärråtkomst bör inte upphöra när ett lösenord accepteras. Kontroll av enhetens status ger information om slutpunktsvillkor och identitet som är avgörande för åtkomstbeslutet, vilket hjälper systemadministratörer att särskilja legitima referenser med en anslutningskälla som faktiskt är säker att lita på från en potentiell säkerhetsrisk.

TSplus Remote Access, Advanced Security och 2FA kan utgöra en del av den lagerbaserade arkitekturen och tillhandahålla flera av åtkomst- och identitetskontrollerna kring det beslutet. Under tiden ger verktyg för hantering av slutpunkter och säkerhet djupare signaler om enhetens hälsa och efterlevnad där det behövs.

Det slutliga resultatet är en helt och hållet mer försvarbar beslutsmodell där IT-teamet kan utvärdera användare, enheter och resurser gemensamt och utifrån deras faktiska risk, inte bara en gång utan på en återkommande basis.