Главная мысль
Ограничьте VPN-доступ пользователями, устройствами и нужными ресурсами; контролируйте обновления клиента и журналы.
Что обеспечивает VPN-подключение
VPN-туннель может дать удалённому пользователю доступ к внутренним ресурсам и передавать трафик по защищённому каналу. Подключение к сети не заменяет разрешения приложения: отдельно определите доступные ресурсы. Выбирайте полный или раздельный туннель с учётом требований безопасности и производительности. При раздельном туннеле через корпоративный контроль проходит не весь трафик.
Проверяйте пользователя и устройство
Используйте надёжную аутентификацию и многофакторное подтверждение; проверяйте пользователя и членство в группах до выдачи доступа. Отслеживайте версию VPN-клиента, поддержку ОС, криптографическую конфигурацию и обновления безопасности. Ограничивайте доступ несовместимых устройств или устройств с признаками компрометации. Также контролируйте версию VPN-шлюза, прошивку и обновления безопасности.
Управляйте доступом и событиями
Разделяйте сетевые сегменты так, чтобы пользователь достигал только нужных для работы сервисов. Завершайте сеанс на общих устройствах, отзывайте учётные данные при утере устройства и проверяйте процесс оповещения.
Проверьте личность
Проверьте пользователя и членство в группах, примените MFA.
Проверьте устройство и VPN
Проверьте управляемое устройство, клиент и шлюз по требованиям политики и обновлений.
Ограничьте ресурсы и маршрут
Разрешите только рабочие ресурсы, выберите согласованный полный или раздельный туннель и отдельно проверьте разрешения приложения.
Запишите сеанс и проверьте отзыв
Регистрируйте сеанс и события политики; проверьте отзыв доступа, безопасное восстановление и завершение сеанса на общем устройстве.