Comments 6
на практике закат солнца (ZT) вручную - слишком трудоемко. Проще по классике выделить админские станции в отдельный защищенный административный сегмент, изолировать его фаерволом от остальной сети, изолировтаь от инета по возможности, накрутить харденинг и усиленную защиту. А доступ к админ-консолям открыть только для этого сегмента. Во всяком случае это классический и посильный путь без костылей.
Теоретически разве все эти системы мониторинга сами по себе не открывают новые возможные вектора атаки ?
Сперва прочитал как "Защита копеечных устройств". Показалось.
В таких случаях важно понимать, что параноить надо с умом. Например:
В любой момент времени статус устройства может измениться - например, появилось новое RCE в браузере, а обновления еще не установлены. В этот момент СПР меняет статус устройства на незащищенный, и пользователю вместо данных в админке показывается заглушка, сообщающая о необходимости обновиться.
Выглядит красиво, секьюрно...
... и тут случается факап красного уровня, и вотпрямщас надо попасть в админку, допустим, СХД. Или бэкапилки. Или сетевого устройства. И как назло, под рукой только этот ноут, всё остальное недоступно/без питания/ещёчтотовэтомроде. И инета, чтоб обновиться, тоже нет. Приплыли.
На такой случай должна быть возможность подстелить себе соломку, т.е. аварийного оверрайда политики, например из локальной консоли, главное чтоб этот способ был неочевиден злобным кулхацкерам (а то всё наше ZT превратится в тыкву).
Zerotrust по-пацански #3. Защита конечных устройств