Kiểm tra tư thế thiết bị cho Remote Access an toàn

Trong an ninh mạng, kiểm tra tư thế thiết bị phục vụ để xác định xem một điểm cuối có đáp ứng các yêu cầu bảo mật đã định nghĩa hay không, cả trước và trong khi truy cập vào tài nguyên của công ty. Đối với các quản trị viên hệ thống quản lý các kết nối từ xa, việc xác thực thành công chỉ là một phần của quyết định. Thực tế, những kiểm tra như vậy đặt ra các câu hỏi xác thực thiết yếu, từ “Đây có phải là người dùng đúng không?” đến “Thiết bị này có đủ độ tin cậy để kết nối không?”, thông qua các điều kiện kết nối và danh tính thực tế của thiết bị.

Người làm việc từ xa có thể xác thực bằng cách sử dụng thông tin đăng nhập hợp lệ nhưng lại kết nối từ một máy tính không được vá lỗi, không được quản lý hoặc bị xâm phạm, khiến việc xác minh danh tính trở nên cần thiết nhưng rõ ràng là không đủ. Kiểm tra tư thế thiết bị giúp các nhóm CNTT đánh giá chính thiết bị đầu cuối và quyết định xem quyền truy cập nên được cấp, hạn chế hay từ chối.

Kiểm tra tư thế thiết bị cho Remote Access là gì?

Kiểm tra tư thế thiết bị đánh giá trạng thái bảo mật của một laptop, máy trạm hoặc điểm cuối khác so với các yêu cầu đã được xác định trước. Kết quả được sử dụng để xác định xem thiết bị đó có nên được phép truy cập vào các ứng dụng, máy tính để bàn hoặc các tài nguyên doanh nghiệp khác hay không.

Một đánh giá tư thế có thể xem xét các mục như phiên bản hệ điều hành, trạng thái mã hóa, bảo vệ điểm cuối và danh tính thiết bị. Ví dụ, Microsoft mô tả các chính sách tuân thủ thiết bị các quy tắc được sử dụng để xác định xem các thiết bị được quản lý có đáp ứng các cấu hình yêu cầu trước khi cho phép trạng thái tuân thủ của chúng được sử dụng cho các quyết định truy cập.

Điều này khác biệt rõ rệt so với xác thực người dùng. Thông tin đăng nhập chính xác chứng minh danh tính của người kết nối. Một kiểm tra tư thế đánh giá hệ thống mà thông tin đăng nhập đó đang được trình bày và liệu nó có đáp ứng các yêu cầu bảo mật của tổ chức hay không.

Đối với các môi trường Giao thức Desktop từ xa, sự phân biệt đó rất quan trọng. Ví dụ: mặc dù được ủy quyền, một tài khoản kết nối từ một điểm cuối không an toàn có thể làm lộ tài nguyên từ xa cho việc đánh cắp thông tin đăng nhập, phần mềm độc hại hoặc truy cập trái phép. Hướng dẫn của chúng tôi về đánh giá bảo mật của một máy tính bị lộ qua Remote Desktop điều tra tư thế điểm cuối cùng bên cạnh sự lộ diện mạng và kiểm soát tài khoản.

Những tín hiệu thiết bị nào mà các đội ngũ CNTT nên kiểm tra?

Không thể có một chính sách tư thế thiết bị toàn cầu duy nhất phù hợp với tất cả. Các tín hiệu nên được chọn dựa trên các tài nguyên đang được bảo vệ, quản lý thiết bị và quyền sở hữu, cũng như mức độ rủi ro liên quan đến người dùng, ứng dụng hoặc dữ liệu liên quan.

Tình trạng Hệ điều hành và Bản vá

Một điểm cuối chạy hệ điều hành lỗi thời hoặc thiếu cập nhật bảo mật mang lại rủi ro lớn hơn so với một máy trạm được quản lý đã được vá đầy đủ. Do đó, các phiên bản hệ điều hành tối thiểu và yêu cầu vá lỗi cung cấp các kiểm tra cơ bản hữu ích.

Ngoài ra, các chính sách có thể được điều chỉnh theo loại quyền truy cập cần thiết: nghiêm ngặt hơn cho các mục đích quản trị có rủi ro cao hơn so với người dùng ứng dụng thông thường hoặc những người truy cập một ứng dụng cụ thể. Mục tiêu không phải là thu thập mọi thuộc tính điểm cuối có thể, mà là xác định các điều kiện ảnh hưởng đáng kể đến việc quyền truy cập có nên được tin cậy hay không.

Bảo vệ điểm cuối, Tường lửa và Mã hóa

Kiểm tra sức khỏe thiết bị mạnh mẽ sẽ đánh giá xem liệu việc bảo vệ điểm cuối cần thiết có đang hoạt động hay không và liệu các biện pháp kiểm soát như cấu hình tường lửa cục bộ thích hợp và mã hóa đĩa phù hợp có được kích hoạt hay không. Phát hiện và Phản hồi Điểm Cuối (EDR), các nền tảng quản lý điểm cuối và các nền tảng tương tự có thể cung cấp thông tin bổ sung về việc phát hiện phần mềm độc hại, mức độ đe dọa hoặc tuân thủ cấu hình.

Các tín hiệu này đặc biệt quan trọng đối với laptop hoạt động bên ngoài mạng công ty. Một tên người dùng và mật khẩu hợp lệ không tiết lộ liệu việc bảo vệ điểm cuối đã bị vô hiệu hóa hay thiết bị vẫn đang báo cáo chính xác cho các công cụ bảo mật của tổ chức.

Danh tính thiết bị, Chứng chỉ và Trạng thái quản lý

Ngoài sức khỏe thiết bị, cần giải quyết thêm các câu hỏi: Các nhóm CNTT cũng có thể cần xác định chính xác hơn thiết bị nào đang kết nối.

Chứng chỉ thiết bị, hồ sơ đăng ký, danh tính máy chủ và trạng thái quản lý có thể giúp phân biệt các điểm cuối doanh nghiệp đã biết với các máy tính không xác định hoặc không được quản lý. Trong môi trường Mang Thiết Bị Của Riêng Bạn (BYOD), điều này tạo ra một sự phân biệt quan trọng giữa “đủ khỏe” và “được ủy quyền”: một máy tính xách tay cá nhân an toàn không nhất thiết trở thành một thiết bị doanh nghiệp được phê duyệt.

Khi nào nên kiểm tra tư thế thiết bị?

Thời điểm rõ ràng nhất để thực hiện một giao thức xác minh thiết bị là trước khi bắt đầu truy cập. Điểm cuối cung cấp thông tin liên quan, sau đó được đánh giá liên quan đến các yêu cầu, và kết nối do đó được cho phép hoặc chặn tương ứng.

Tuy nhiên, tư thế có thể thay đổi trong một phiên làm việc kéo dài. Do đó, đối với một số môi trường, một bộ kiểm tra là không đủ. Một thiết bị có thể không còn tuân thủ, bảo vệ điểm cuối có thể dừng lại hoặc thông tin giám sát bảo mật có thể xác định một mối đe dọa mới. Để giảm thiểu thực tế rằng một phiên có thể kéo dài hơn quyền truy cập ban đầu được biện minh, các kiến trúc trưởng thành hơn do đó hỗ trợ việc đánh giá lại định kỳ. Họ cũng có thể thiết lập các quyết định truy cập dựa trên sự kiện thay vì coi việc đăng nhập thành công là bằng chứng vĩnh viễn về sự tin cậy.

Tần suất phù hợp phụ thuộc vào rủi ro. Các tài khoản quản trị và ứng dụng nhạy cảm có thể yêu cầu xác thực thường xuyên hơn nhiều so với các tài nguyên có rủi ro thấp. Nguyên tắc quan trọng là thông tin được sử dụng để đưa ra quyết định truy cập không nên được tin cậy vô thời hạn, đặc biệt nếu một điểm cuối phát triển.

Điều gì sẽ xảy ra khi một thiết bị không đạt yêu cầu kiểm tra tư thế?

Sự thất bại không phải lúc nào cũng dẫn đến phản ứng giống nhau. Các nhóm CNTT nên quyết định trước những thất bại nào cần chặn ngay lập tức và những thất bại nào có thể được khắc phục và do đó cần phải xử lý.

Một chính sách thực tiễn có thể:

từ chối truy cập cho các lỗi nghiêm trọng như khi thiếu bảo vệ điểm cuối hoặc nếu một thiết bị bị phát hiện là bị xâm phạm;
hạn chế truy cập khi trạng thái thiết bị không chắc chắn hoặc không thể xác minh;
thông báo cho người dùng yêu cầu nào đã thất bại;
chỉ đạo điểm cuối thông qua một bản cập nhật, vá lỗi hoặc khắc phục;
ghi lại nhật ký đánh giá không thành công để điều tra; và
kiểm tra và đánh giá lại thiết bị trước khi khôi phục quyền truy cập bình thường.

Phản hồi nên tương ứng với rủi ro. Một bản vá bị thiếu hoặc phiên bản lỗi thời có thể biện minh cho việc khắc phục, trong khi bằng chứng về sự xâm phạm đang diễn ra nên kích hoạt quy trình cách ly và phản ứng sự cố.

TSplus Remote Support có thể hỗ trợ ở giai đoạn này. Các kỹ thuật viên hỗ trợ có thể sử dụng hỗ trợ từ xa có người tham gia hoặc không có người tham gia để khắc phục và sửa chữa các vấn đề đầu cuối khi cần can thiệp quản trị.

Kiểm tra tư thế thiết bị phù hợp với MFA và Zero Trust như thế nào?

Tư thế thiết bị, xác thực đa yếu tố (MFA) và Zero Trust giải quyết các câu hỏi liên quan nhưng khác nhau.

MFA yêu cầu người yêu cầu truy cập có thể chứng minh danh tính của họ thông qua nhiều yếu tố hơn một. Tình trạng thiết bị thêm vào việc điểm cuối mà họ đang kết nối có đáp ứng các yêu cầu bảo mật hay không. Quyền truy cập sau đó xác định các ứng dụng hoặc hệ thống mà sự kết hợp người dùng + thiết bị cụ thể nên được phép truy cập.

NIST, quy định châu Âu và các tiên phong khác trong lĩnh vực an ninh mạng đề cập Nguyên tắc Zero Trust Xác thực người dùng và sức khỏe thiết bị cùng với quyền truy cập là những chức năng riêng biệt được thực hiện trước khi một kết nối mới được thiết lập vào các tài nguyên từ xa, đôi khi không thể nhìn thấy đối với chính người dùng.

Kiểm tra tư thế thiết bị do đó là một thành phần của chiến lược truy cập nhiều lớp và chắc chắn không phải là sự thay thế cho MFA, quyền hạn hoặc bảo vệ phía máy chủ. Đọc tiếp ở đây cho việc bảo vệ Zero Trust của chúng tôi trên danh tính, độ tin cậy của thiết bị, quyền hạn tối thiểu và giám sát.

Làm thế nào các đội IT có thể áp dụng nguyên tắc tư thế thiết bị với TSplus?

Áp dụng các tính năng phần mềm TSplus để củng cố kiểm tra thiết bị

Một triển khai TSplus có khả năng kết hợp nhiều kiểm soát xung quanh quyết định truy cập trong khi các kiểm tra tuân thủ điểm cuối sâu hơn vẫn được thực hiện bởi một số công cụ chuyên dụng được thiết kế để thực hiện chúng.

TSplus Remote Access cung cấp quyền truy cập người dùng được kiểm soát vào các ứng dụng và máy tính để bàn Windows tập trung. Việc thêm TSplus 2FA tăng cường xác thực người dùng bằng cách yêu cầu một mật khẩu và mã xác minh một lần dựa trên thời gian cho các phương thức kết nối TSplus Remote Access được hỗ trợ.

TSplus Advanced Security thêm một lớp bảo vệ nữa. Tính năng Thiết bị Đáng Tin cậy của nó có thể liên kết người dùng với các tên thiết bị đã chỉ định và từ chối đăng nhập từ những thiết bị không hợp lệ. Điều này cung cấp kiểm soát truy cập nhận biết thiết bị. Khác TSplus Advanced Security các tính năng đáng khám phá trong quản lý thiết bị.

Các biện pháp bảo mật bổ sung để thực hiện

Mức độ bảo vệ bổ sung của một động cơ tư thế hoàn chỉnh sẽ được thêm vào những điều này. Tôi nên đánh giá trạng thái bản vá, mã hóa đĩa, sức khỏe EDR hoặc các tín hiệu tuân thủ điểm cuối khác.

Các quản trị viên hệ thống cũng nên xem xét các hạn chế triển khai khi thiết kế chính sách của họ. Thiết bị tin cậy không tương thích với các kết nối HTML5, và các thiết bị di động có thể gặp thêm các hạn chế về xác định tên máy chủ. Những yếu tố này quan trọng khi thiết kế các chính sách liên quan đến truy cập web hoặc di động.

Thông tin sức khỏe thiết bị sâu hơn do đó có thể vẫn là trách nhiệm của quản lý Windows, EDR, quản lý điểm cuối hoặc các công cụ tuân thủ khác. TSplus sau đó có thể kiểm soát cách người dùng đã xác thực truy cập các tài nguyên đã được công bố và bảo vệ một số khía cạnh bảo mật cụ thể của máy chủ ứng dụng. Sự tách biệt này cho phép các nhóm CNTT xây dựng bảo mật theo lớp mà không phải giả định rằng danh tính, sức khỏe điểm cuối và việc phân phối ứng dụng phải đến từ cùng một hệ thống.

Tính năng hiển thị mạng được cung cấp bởi phần mềm giám sát TSplus

TSplus Server Monitoring cung cấp khả năng hiển thị về phía hạ tầng bằng cách theo dõi hiệu suất máy chủ, ứng dụng và hoạt động của người dùng. Nó không thực hiện đánh giá tư thế thiết bị khách, nhưng có thể bổ sung các kiểm soát truy cập với việc giám sát hoạt động khi các khối lượng công việc từ xa đang chạy. Tài liệu của chúng tôi và hướng dẫn của chúng tôi đến phần mềm giám sát máy tính từ xa và khả năng hiển thị phiên làm việc cung cấp thêm chi tiết. Ngoài ra, việc giám sát (và chặn) IP được thực hiện bởi TSplus Advanced Security bổ sung cho khả năng nhìn thấy và bảo vệ này.

Danh sách kiểm tra tư thế thiết bị thực tế cho quản trị viên hệ thống

Một chính sách tư thế bắt đầu với một số lượng nhỏ các kiểm tra mà các quản trị viên có thể thực thi một cách nhất quán chắc chắn sẽ dễ vận hành hơn. Đối với một môi trường truy cập từ xa hướng đến Windows, hãy xem xét các câu hỏi sau:

Điểm cuối có đang chạy một hệ điều hành được hỗ trợ và được vá lỗi đầy đủ không?
Phần mềm diệt virus, EDR hoặc các biện pháp bảo vệ điểm cuối cần thiết khác có đang hoạt động không?
Các cài đặt tường lửa và mã hóa thiết yếu có được cấu hình theo đúng chính sách của công ty không?
Thiết bị đầu cuối có được ghi nhận là thiết bị đã được công nhận hoặc quản lý không?
Điểm cuối có trạng thái tuân thủ hoặc mối đe dọa chấp nhận được không?
Người dùng có được bảo vệ bởi các biện pháp xác thực phù hợp không?

Ngưỡng chính xác nên phản ánh độ nhạy cảm của tài nguyên và có sự khác biệt về hậu quả. Các phiên làm việc quản trị thường phải đối mặt với các yêu cầu nghiêm ngặt hơn so với quyền truy cập thông thường vào một ứng dụng kinh doanh đã được công bố.

Xây dựng niềm tin thiết bị vào mọi quyết định truy cập từ xa

Bảo mật truy cập từ xa không nên dừng lại khi một mật khẩu được chấp nhận. Kiểm tra tư thế thiết bị cung cấp thông tin về tình trạng điểm cuối và danh tính cần thiết cho quyết định truy cập, giúp quản trị viên hệ thống phân biệt các thông tin xác thực hợp pháp với nguồn kết nối thực sự an toàn để tin tưởng từ một rủi ro bảo mật tiềm ẩn.

TSplus Remote Access, Advanced Security và 2FA có thể là một phần của kiến trúc nhiều lớp đó, cung cấp một số kiểm soát truy cập và danh tính xung quanh quyết định đó. Trong khi đó, các công cụ quản lý và bảo mật thiết bị cung cấp tín hiệu sức khỏe và tuân thủ thiết bị sâu hơn khi cần thiết.

Kết quả cuối cùng là một mô hình quyết định có thể bảo vệ tốt hơn, trong đó đội ngũ CNTT có thể đánh giá người dùng, thiết bị và tài nguyên một cách đồng thời và theo mức độ rủi ro thực tế của họ, không chỉ một lần mà còn thường xuyên.