Stratégie des connexions sortantes non autorisées
Les enregistrements Network Access présentent les décisions de connexion issues de Network Access Control et Illegal Outbound dans la gestion des terminaux. Ces stratégies sont distinctes : la première compare les connexions aux règles, la seconde évalue les connexions sortantes selon les adresses autorisées configurées. Ce n’est pas un inventaire complet du trafic. Une liste vide ne prouve pas l’absence de connexion ; un événement autorisé ne prouve pas à lui seul la réussite finale de l’accès métier.
Les stratégies réseau peuvent affecter les services, la maintenance distante et la communication avec la plateforme de gestion. Testez d’abord des adresses approuvées sur un terminal Windows pilote maintenable sur place, avec un moyen de restauration. Ne déployez pas directement le blocage sur tous les terminaux. La description des journaux prend pour exemple les connexions TCP sur les terminaux Windows ; les autres protocoles et plateformes doivent être vérifiés séparément.
Préparer le pilote
- Vérifiez que l’organisation possède la licence nécessaire ; modifier les stratégies de gestion des terminaux, consulter et exporter les enregistrements exigent les droits correspondants. Les terminaux pilotes doivent être inscrits et capables de recevoir les stratégies. Pour vérifier les enregistrements, confirmez aussi leur transmission et la visibilité des terminaux pour le compte de consultation.
- Avec les responsables réseau et métier, confirmez programme de test, adresse cible, port, direction et fenêtre de maintenance. Préservez un accès sur place et une solution de retour arrière ; ne bloquez notamment pas la plateforme de gestion, les services essentiels ni la connexion de maintenance distante utilisée.
- Dans UEM > Policy, vérifiez d’abord la stratégie existante applicable aux terminaux pilotes, sa période et son périmètre ; réutilisez-la si elle répond au test. Seulement si une création ou modification est nécessaire, une personne habilitée évalue les effets et suit le plan approuvé.
Configurer Illegal Outbound
N’effectuez les réglages suivants que si la configuration existante ne répond pas aux exigences du pilote approuvé ; vérifiez d’abord les effets métier, le périmètre et le plan de restauration.
- Dans la stratégie pilote, activez Illegal Outbound et ouvrez ses paramètres. Les règles d’adresses autorisées sont gérées séparément de Network Access Control.
- Examinez les règles IPv4 et IPv6 existantes d’adresses autorisées. Ajoutez ou ajustez listes, plages et noms selon le périmètre approuvé. Incluez les adresses de gestion et métier nécessaires au pilote dans les plages devant être autorisées ; ne supprimez pas les règles existantes sans évaluation.
- Vérifiez Block Illegal Outbound : désactivé, il enregistre les connexions sortantes non autorisées correspondantes ; activé, il les bloque. Ne désactivez pas un blocage existant uniquement pour tester. Pour une vérification non bloquante, utilisez un pilote convenablement isolé selon un plan approuvé, après vérification des effets métier et de la restauration. Toute modification de l’option suit les procédures d’approbation et de changement de l’organisation.
- Enregistrez les paramètres et toute la stratégie, puis revérifiez activation, adresses autorisées et terminaux. Après réception, testez séparément les adresses autorisées et l’adresse de test approuvée. Les correspondances dépendent des règles, connexions et du terminal ; elles ne constituent pas un audit complet du réseau.
Risque lié aux familles d’adresses : dans certains traitements de connexions TCP sous Windows, les adresses IPv4 et IPv6 autorisées sont comparées séparément. Configurer uniquement IPv4 n’autorise pas automatiquement IPv6, et inversement. Sans règle correspondante pour une famille, ses connexions peuvent être considérées comme des connexions sortantes illégales et interrompues si le blocage est activé. Vérifiez les familles réellement utilisées par le terminal pilote, configurez séparément les adresses nécessaires à l’administration et aux activités, puis testez-les individuellement avant d’activer le blocage.
Mis à jour le