Sicherheitsprüfungen für Zugriffsrichtlinien

Zugriffsgruppen bündeln Zero-Trust-Knoten und Netzwerkressourcen zur Verwendung in Richtlinien, Routen und anderen Konfigurationen. Eine Richtlinie beschreibt erlaubte oder verweigerte Quellen und Ziele sowie Protokoll, Richtung und Ports. Eine Gruppe allein erteilt keine Zugriffsrechte. Das Speichern einer Richtlinie beweist weder deren Empfang durch alle Knoten noch die Erreichbarkeit des Zieldienstes.

Dieses Kapitel erläutert das Erstellen von Sicherheitsprüfungen und deren Aufnahme in eine Zugriffsrichtlinie. Prüfergebnis, Richtlinienübereinstimmung und tatsächlicher Zugriff sind getrennte Schritte und getrennt zu überprüfen.

Vorbereitung

• Verwenden Sie ein Administratorkonto mit Rechten für Zero-Trust-Gruppen und -Richtlinien. Prüfen Sie die Verbindung der beteiligten Knoten und bereiten Sie benötigte Netzwerkressourcen vor.
• Bestimmen Sie zu erlaubende oder einzuschränkende Quellen, Ziele, Protokolle und Ports sowie den Bedarf für Gegenrichtung. Wählen Sie den kleinsten geschäftlich erforderlichen Umfang und bereiten Sie erlaubte und nicht erlaubte Testobjekte vor.
• Prüfen Sie vorhandene Richtlinien, Routen und Gruppenverwendungen. Mehrere Konfigurationen können einen Pfad beeinflussen; eine einzelne neue Regel belegt das Gesamtergebnis nicht.
• Prüfen Sie bei internen Diensten Zielerreichbarkeit und Weiterleitung des Routingknotens sowie Zieldienst, Firewall und Rückweg. Siehe Zero-Trust-Netzwerkrouten konfigurieren.

Einschränkung der Portkonfiguration: Eine Richtlinienregel kann mehrere einzelne Ports oder einen oder mehrere Portbereiche enthalten, aber nicht beide Arten zusammen. Geben Sie beispielsweise 443 und 8000-8080 nicht in derselben Regel ein; das Speichern kann fehlschlagen, obwohl die Oberfläche die Eingabe annimmt. Wenn beides benötigt wird, prüfen Sie getrennte Richtlinien, kontrollieren Sie jeweils Quelle, Ziel, Aktion und Sicherheitsprüfung und testen Sie die kombinierte Wirkung im Pilot. Kombinieren Sie * nicht mit anderen Ports.

Zugriffsrichtlinie erstellen

1. Prüfen Sie die eingebundenen Pilot-Quellknoten, Zielknoten oder Netzwerkressourcen sowie die benötigten Protokolle und Ports. Prüfen Sie Verwaltungsrechte und bestehende Richtlinien, die den Zugriff beeinflussen können.
2. Erstellen oder wählen Sie eine passende Zugriffsrichtlinie und legen Sie Quelle, Ziel, Richtung, Aktion und Ports entsprechend dem Bedarf fest. Prüfen Sie die Auswahl nach Änderungen des Protokolls oder Objekttyps erneut, um den Zugriff nicht unbeabsichtigt zu erweitern.
3. Speichern Sie, prüfen Sie die Aktivierung und warten Sie auf die Übernahme durch die relevanten Knoten. Das Erstellen der Richtlinie und das Anwenden einer Sicherheitsprüfung sind getrennte Schritte. Portbeschränkungen, Optionswechsel und vollständige Prüfung stehen unter Zugriffsrichtlinie.

Sicherheitsprüfung zur Zugriffsrichtlinie hinzufügen

Sicherheitsprüfungen ergänzen Bedingungen für Quellendpunkte. Konfigurieren Sie für dieses Firewall-Beispiel zunächst Testendpunkte nach Organisationsverfahren und bereiten Sie kontrollierte Quellen mit ein- und ausgeschalteter Firewall vor. Eine Prüfung konfiguriert die Firewall nicht; ihr Name beweist keine Zugriffssperre.

1. Öffnen Sie mit Verwaltungsrecht für Sicherheitsprüfungen der Endpunktverwaltung Security Checks und wählen Sie bei erfolgreich geladener leerer Liste Create Security Check, bei vorhandenen Prüfungen Create Check. Wählen Sie Firewall Enabled und durchlaufen Sie Check type, Check settings und Review. Zusätzliche Parameter sind nicht erforderlich. Geben Sie einen Namen ein und speichern Sie. Prüfen und verwenden Sie eine vorhandene gleichartige Prüfung statt eines Duplikats.
2. Prüfen Sie Name, Typ und Aktivierung in der Liste. Der Endpunkt muss den Sicherheitsstatus melden und die Auswertung abgeschlossen sein; fehlende Daten oder Ergebnisse gelten nicht automatisch als bestanden.
3. Konfigurieren Sie in der Zero-Trust-Zugriffsrichtlinie Quelle, Ziel, Aktion, Protokoll und Ports wie oben, wählen Sie die aktivierte Prüfung unter Security Checks und speichern Sie. Eine nicht hinzugefügte Prüfung ist keine Richtlinienbedingung.
4. Testen Sie nach Daten- und Richtlinienaktualisierung mit Quellen, die die Bedingung erfüllen und nicht erfüllen. Prüfen Sie Quellgruppen, andere Richtlinien, Routen und Zielfirewall. Fehlgeschlagene, unbekannte, abgelaufene oder nicht verfügbare Ergebnisse zählen für diese Richtlinie nicht als gültiger Erfolg; andere Pfade sind dadurch nicht garantiert gesperrt.
5. Prüfen Sie vor Änderung oder Deaktivierung Referenzen und Auswirkungen; referenzierte Prüfungen können nicht direkt gelöscht werden. Erweitern Sie den Einsatz erst nach Tests und Freigabe.

Wichtige Einschränkung für Ablehnungsrichtlinien: Eine Sicherheitsprüfung ist eine Bedingung für die Quellenübereinstimmung, kein Schalter zum Ablehnen bei Prüffehler. Wird sie einer Ablehnungsrichtlinie hinzugefügt, kann die Ablehnungsregel bei fehlendem gültigem Erfolg der Quelle nicht anwendbar sein; andere Erlaubnisrichtlinien oder Routen können den Zugriff beeinflussen. Nehmen Sie keine garantierte Sperre nicht konformer Endpunkte an. Testen Sie Erfolg, Fehlschlag und fehlende Daten getrennt.

Bidirektionale Richtlinien und Sicherheitsprüfungen: Bei einer bidirektionalen Richtlinie zwischen Knoten werden Prüfungen für die in der Richtlinie definierte Quelle ausgewertet; daraus folgt keine bestandene Prüfung des Ziels. Besteht die Quelle, das Ziel aber nicht, kann die bidirektionale Regel dennoch einen vom Ziel ausgehenden Zugriff auf die Quelle erlauben, abhängig von weiteren Regeln und Netzwerkbedingungen. Falls beide Seiten Prüfungen erfüllen müssen, prüfen Sie getrennte unidirektionale Richtlinien mit Prüfungen für die jeweilige Quelle und testen Sie beide Richtungen mit bestandenen, fehlgeschlagenen und fehlenden Ergebnissen.

DLP- oder Pflichtsoftwareprüfungen verwenden

Zusätzlich zur Firewallprüfung können folgende Prüfungen im jeweiligen Produkt erstellt werden. Produktberechtigung und Verwaltungsrecht für Prüfungen sind erforderlich. Jede Prüfung wählt ein Objekt; prüfen und verwenden Sie eine bestehende gleichartige Prüfung für dasselbe Objekt erneut.

1. Datenverlustprävention: Konfigurieren und aktivieren Sie zuerst die benötigte DLP-Richtlinie und prüfen Sie ihren Testendpunktbereich. Erstellen Sie unter Security Checks des Produkts Data Loss Prevention Policy Applied, wählen Sie eine aktivierte und wirksame Richtlinie, benennen, prüfen und speichern Sie. Die Prüfung bewertet die Richtlinienzuordnung; sie beweist nicht allein Empfang oder erfolgreiche Durchsetzung am Endpunkt. Prüfen Sie die Wirkung nach der jeweiligen Funktionsanleitung.
2. Pflichtsoftware: Bereiten Sie ein aktiviertes Softwareobjekt zur Erkennung vor und prüfen Sie die Bestandsmeldung der Testendpunkte. Erstellen Sie unter Software > Security Checks Required Software Installed, wählen Sie das Objekt, benennen, prüfen und speichern Sie. Grundlage ist der erfasste Bestand, nicht der Nachweis von Betrieb oder passender Version. Prüfen Sie dies bei Bedarf am Endpunkt.
3. Wählen Sie in der Zero-Trust-Zugriffsrichtlinie aktivierte und verfügbare Prüfungen unter Security Checks und speichern Sie. Bei mehreren Prüfungen sind für diese Richtlinienbedingung alle gültigen Erfolgsergebnisse erforderlich. Testen Sie nach Aktualisierung mit passenden und nicht passenden kontrollierten Quellen und prüfen Sie andere Richtlinien und Routen.
4. Bei deaktivierten oder nicht verfügbaren Referenzen sowie fehlenden oder abgelaufenen Ergebnissen keinen Erfolg annehmen. Prüfen Sie vor Änderungen Referenzen und Geschäftsfolgen; eine von einer Richtlinie referenzierte Prüfung kann nicht direkt gelöscht werden.

• Zugriffsrichtlinien