polityka urządzeń zaufanych

Polityka urządzeń zaufanych określa, z jakiego sprzętu można uzyskać dostęp do zasobów organizacji.

Mechanizmy i zasady weryfikacji sprzętu w sieciach korporacyjnych

Współczesne modele zabezpieczeń infrastruktury informatycznej ewoluowały od koncepcji opartej wyłącznie na obronie obwodu sieci, realizowanej za pomocą tradycyjnych zapór sieciowych, w stronę architektury Zero Trust. Wymusza ona weryfikację tożsamości użytkownika oraz stanu i sprzętowej tożsamości fizycznego punktu końcowego. Polityka urządzeń zaufanych to zbiór technicznych reguł, które systemy kontroli dostępu analizują przed zestawieniem sesji z zasobami firmy. We wczesnych wdrożeniach mechanizmy te wykorzystywały proste metody, na przykład filtrowanie adresów MAC na przełącznikach warstwy drugiej lub statyczną alokację adresów IP. Obecnie identyfikacja maszyny bazuje na kryptografii asymetrycznej. Cyfrowe certyfikaty infrastruktury klucza publicznego (PKI) instalowane bezpośrednio na stacjach roboczych stanowią dowód przynależności sprzętu do danej organizacji. Weryfikacja często przebiega z wykorzystaniem protokołu IEEE 802.1X, gdzie uwierzytelnianie następuje na poziomie portu dostępowego w infrastrukturze przewodowej lub w sieciach bezprzewodowych. Serwer RADIUS zatwierdza połączenie sieciowe na podstawie ważności certyfikatu maszyny, zanim system operacyjny użytkownika załaduje powłokę interfejsu graficznego.

Identyfikatory kryptograficzne przechowuje się w dedykowanych układach sprzętowych, takich jak Trusted Platform Module (TPM) na płytach głównych komputerów osobistych lub odpowiednikach w innych architekturach procesorów. Moduł TPM zabezpiecza klucz prywatny przed eksportem, nawet w przypadku kompromitacji systemu operacyjnego przez złośliwy kod. Urządzenie próbujące nawiązać połączenie z systemami wewnętrznymi musi wykonać operację kryptograficzną udowadniającą dostępność odpowiedniego klucza. Proces ten integruje się z systemami Mobile Device Management (MDM) oraz Unified Endpoint Management (UEM). Platformy takie wdrażają na komputerze lokalnego agenta lub opierają się na wbudowanych interfejsach zarządzania systemem operacyjnym. Agent w tle odczytuje parametry sprzętowe i stan konfiguracji oprogramowania, wysyłając zebrane dane do centralnej konsoli administracyjnej. Uzyskanie statusu urządzenia zaufanego zależy od jednoczesnego posiadania właściwego certyfikatu oraz poprawnego raportu z aplikacji monitorującej stan punktu końcowego w danej jednostce czasu.

Kryteria zgodności i integracja z systemami zarządzania tożsamością

Zestawienie poprawnej tożsamości sprzętu stanowi pierwszy krok procesu decyzyjnego. Polityka urządzeń zaufanych implementuje mechanizmy dostępu warunkowego (Conditional Access), badając w czasie rzeczywistym stan systemu operacyjnego pod kątem zgodności z polityką bezpieczeństwa (Compliance Policy). Aby komputer kliencki zachował status zaufanego, musi spełniać określone wymogi techniczne. Bazowym kryterium jest aktywny, zaktualizowany system operacyjny z zainstalowanymi bieżącymi łatami bezpieczeństwa. Brak wymaganej aktualizacji skutkuje zmianą statusu maszyny w konsoli na niezgodną z regulaminem. Kolejny aspekt to weryfikacja statusu szyfrowania lokalnych nośników danych za pośrednictwem technologii BitLocker lub jej odpowiedników, co ma zapobiegać wyciekowi danych w sytuacji fizycznej utraty nośnika. Mechanizmy kontrolne weryfikują aktywność oprogramowania antywirusowego, działanie procesów Endpoint Detection and Response (EDR), ustawienia zapory sieciowej oraz status mechanizmu Secure Boot, który zabezpiecza proces rozruchu przed wczytaniem nieautoryzowanego kodu.

System ocenia status maszyny w sposób ciągły i dynamiczny. Modyfikacja ustawień zapory sieciowej przez użytkownika skutkuje natychmiastowym przesłaniem zaktualizowanego raportu do chmury. W rezultacie dostawca tożsamości odbiera uprawnienia, a tokeny sesyjne, na podstawie których stacja robocza synchronizuje pocztę elektroniczną lub pobiera pliki z serwerów, tracą ważność. Zasada ta znajduje praktyczne zastosowanie w środowiskach typu Bring Your Own Device (BYOD), gdzie sprzęt stanowiący własność użytkownika loguje się do firmowych domen. W takim przypadku polityka opiera się na konteneryzacji. Mechanizmy systemowe oddzielają logicznie dane korporacyjne od plików prywatnych. Urządzenie uznaje się za zaufane w ramach wyodrębnionego środowiska uruchomieniowego, w którym zainstalowano aplikacje biznesowe. Administratorzy centralni dysponują narzędziami umożliwiającymi usunięcie danych z wyznaczonego kontenera korporacyjnego, bez ingerencji w prywatne zasoby zgromadzone na lokalnym nośniku w urządzeniu końcowym.

Zaburzenia procesu autoryzacji punktu końcowego

Utrzymanie stanu zgodności w sieciach rozproszonych wiąże się ze zjawiskami degradacji po stronie klienta. Jednym z dominujących problemów technicznych prowadzących do zablokowania dostępu jest awaria podsystemu instalującego aktualizacje lokalnego systemu operacyjnego. Uszkodzenie katalogów składowania pakietów lub błędy logiczne w systemie plików, często wynikające z rosnącej ilości reallokowanych sektorów na nośniku SSD, powodują błędy podczas wdrażania poprawek. Brak poprawnej instalacji aktualizacji w zadanym oknie czasowym sprawia, że serwer polityk odcina komputer od zasobów. Użytkownik zachowuje możliwość logowania do pulpitu, ale warstwa sieciowa blokuje próby połączeń VPN. Innym powodem utraty autoryzacji jest brak synchronizacji zegara sprzętowego. Uwierzytelnianie wykorzystujące protokoły oparte na znacznikach czasu wymaga spójności daty i godziny pomiędzy hostem a serwerem. Wyczerpanie baterii na płycie głównej podtrzymującej zegar czasu rzeczywistego (RTC) skutkuje resetem licznika. Nawiązanie sesji zostaje odrzucone z powodu wyjścia poza okno czasowe akceptacji wygenerowanych poświadczeń lub uznania lokalnego certyfikatu za jeszcze nieważny.

Złożone usterki wynikają z braku komunikacji pomiędzy systemem operacyjnym a mikrokontrolerem TPM. Zmiany parametrów w oprogramowaniu UEFI, błędy sprzętowe samego układu szyfrującego lub korupcja wewnętrznej bazy danych mogą doprowadzić do utraty powiązania między kluczami sprzętowymi a identyfikatorem konta w chmurze. Agent MDM traci możliwość potwierdzenia tożsamości płyty głównej. Dawniej serwisy często spotykały się z próbami omijania prostych polityk sieciowych poprzez klonowanie adresów MAC w starszych kartach sieciowych, jednak dziś tego typu zgłoszenia są rzadkością ze względu na powszechne wdrażanie zaawansowanych zabezpieczeń kryptograficznych. Rozwiązywanie współczesnych problemów na warstwie sprzętowej często zmusza do wgrywania nowych wersji firmware'u płyty głównej, procedur czyszczenia stanu układu zabezpieczającego za pomocą specjalistycznego oprogramowania lub gruntownej naprawy logicznej nośników w celu odbudowania łańcucha zaufania między fizycznym komponentem a bazą danych platformy zarządzającej.

Interwencja serwisowa w kontekście blokady dostępu do środowiska pracy

Identyfikacja przyczyny odrzucenia komputera przez systemy nadzoru sprzętu decyduje o możliwości przeprowadzenia naprawy sprzętowej. Warszawskie Pogotowie Komputerowe analizuje i eliminuje usterki elektroniczne płyt głównych oraz naprawia błędy instalacji na warstwie lokalnego systemu operacyjnego, które wtórnie prowadzą do utraty zaufania przez urządzenie końcowe. Czynności serwisowe polegają na fizycznej wymianie uszkodzonych nośników danych, instalacji nowych baterii odpowiedzialnych za podtrzymanie pracy obwodu RTC, a także diagnozowaniu uszkodzeń elektroniki zasilającej komponenty kryptograficzne. Naprawiamy uszkodzone biblioteki systemu Windows, przywracając poprawne działanie narzędzi aktualizacyjnych, co stanowi warunek konieczny, aby komputer mógł ponownie poprawnie odpowiedzieć na żądania statusu kierowane z chmury przez serwery zarządzające.

Trzeba mieć na uwadze ograniczenia zakresu prac realizowanych w zewnętrznym serwisie sprzętowym. Nie dysponujemy uprawnieniami do środowiska Active Directory, konsol MDM czy zarządzania regułami dostępu warunkowego w organizacjach naszych klientów. Każda poważna ingerencja sprzętowa, jak wymiana uszkodzonej płyty głównej, skutkuje wygenerowaniem nowego podpisu sprzętowego z układu TPM. Chociaż sprzęt po naprawie jest w pełni sprawny technicznie, to w świetle zasad bezpieczeństwa firmy figuruje on jako nowa, nieznana maszyna. Wymusza to na użytkowniku konieczność bezpośredniego kontaktu z wewnętrznym działem wsparcia IT w celu ponownego przypisania (enrollmentu) naprawionego laptopa do konta pracownika.