Christian: Hej, og velkommen til endnu et afsnit af How to Get There From Here. Christian: Mit navn er Christian, og jeg har igen Mathias med. Christian: I dag skal vi tale om Compliant Network Location versus Compliant Device i Conditional Access. Christian: Det er sjovt nok et emne omkring Conditional Access, som vi vender meget tilbage til i forskellige sammenhænge. Christian: GSA, Global Secure Access, har jo været noget, der har været lidt på radaren hos mange, tror jeg. Christian: Men hvordan skal man gribe det an? Det er her, signalet Compliant Device eller Compliant Network Location kommer i spil som en ekstra feature til at beskytte adgangen til applikationer. Traditionelt har vi brugt MFA som et krav: Du skulle lave MFA for at komme ind, og du skulle også være på et Compliant Device. Christian: Nu har vi også muligheden for noget mere, og det skal vi tale lidt om i dag. Christian: Vi har haft nogle gode snakke hen over det sidste stykke tid om, hvordan GSA kan komme i spil her. Kan det erstatte Compliant Device? Det er måske et lidt hot take, men det er måske heller ikke så relevant, for det handler mere om dybden i ens sikkerhed: at man har flere forskellige lag og stiller tre krav i stedet for kun ét. Christian: Som vi også har talt om, er det ikke nok kun at kræve Compliant Device eller kun at kræve MFA. Det er begge dele, der er med til at sikre adgangen. Hvad er dine tanker, Mathias, omkring den tilføjelse? Mathias: Først og fremmest skal jeg sige, at jeg ikke ved ret meget om GSA som feature. Mathias: Men jeg ved en del om, hvorfor folk vil bruge noget, der ligner det. Der findes mange forskellige komponenter, lidt à la GSA. Der er C-Scaler, og der er andre typer løsninger, som kan tjene samme formål: at give adgang til backend eller foretage inspektion af internettrafik og så videre. Mathias: Det kommer også af, at vi har bevæget os længere væk fra, at vi sad og arbejdede på én lokation. Vi havde fysiske maskiner, som man ikke rigtigt kunne slæbe rundt på, og så sad man i en virksomhed bag en firewall med ét breakout point til internettrafik. Mathias: Det er lidt den gamle tanke. Vi har været nødt til at flytte os og modernisere, fordi man nu kan sidde og arbejde i toget på vej hjem. Man kan sidde derhjemme og arbejde, gudskelov. Der er andre, der vil bande det langt væk, ikke? Christian: Jo. Christian: Så hvad skal vi gøre? Jeg tror, vi skal tage den lidt tilbage. Når vi skal tilgå vores ressourcer, hvad skal der egentlig til, for at vi synes, at vi har en tilstrækkelig sikkerhed? Christian: GSA er et glimrende eksempel på nogle ting, som den kan løse, men den kan jo ikke løse noget selv. Mathias: Nej, og det er jo også sådan, at MFA ikke kan løse noget alene, og Compliance Device-signalet heller ikke kan stå alene. Christian: Jeg synes, den gode tilføjelse er, at GSA måske giver mulighed for at kombinere kravene. I stedet for kun at have ét krav har du muligheden for to. Christian: Et eksempel, som vi også har talt lidt om bag mikrofonen, er en applikation, hvor du bruger Single Sign-On, men som ikke kan sende signalet om Compliant Device. Så bliver du blokeret. Christian: Her kan GSA træde ind og sende signalet i stedet for Compliant Device. På den måde skruer du ikke ned for din sikkerhed. Du holder stadig et godt sikkerhedsniveau, fordi du kræver MFA, men også at brugeren kommer fra et Compliant Network, altså at GSA-klienten skal være aktiv på maskinen. Mathias: Ja, det er et glimrende eksempel på, hvor GSA kan løse et meget bestemt use case. Mathias: Det, man lige skal have for øje, er, at når du siger Compliant Device, vil det normalt kræve, at alle dine Conditional Access-politikker siger, at du kun får adgang, hvis du har et Compliant Device. Mathias: Hvis du har sådan en applikation i dit miljø, vil du ofte hurtigt lave et quick fix, fordi der er nogen, der siger: “Hey, vi har brug for det.” Når man har brug for noget, ved de fleste også, i hvert fald hvis man har nok stjerner på skulderen, at man må afvige og få det til at virke. Mathias: Så er der selvfølgelig noget, der må lide. I det her tilfælde vil det være sikkerheden, fordi du er nødt til at gå ind og ekskludere og sige: “Lige til den her adgang kan jeg ikke kræve Compliant Device.” Mathias: På den måde har du prikket hul i den gamle firewall, fordi du pludselig har adgang ind i dit miljø, uden at det kræver Compliant Device. Christian: Hvis du skal holde den sikkerhed, som du havde før, kunne det være, hvis man var så heldig, at man havde P1 eller P2. Så kan man få GSA og netop få lavet, at man kommer fra et Compliant Network i stedet for. Christian: Så har man ikke lavet det hul. Man anvender bare en anden teknologi, som kommer ind og komplementerer det hele. Mathias: Præcis. Christian: Det synes jeg er en ret spændende tankegang. Mathias: Der er jeg helt enig. Jeg tror, tanken måske også kan være en kombination af Compliant Device og Compliant Network. Mathias: Lad os sige, at der ikke er mulighed for MFA for en bestemt bruger. Der kan være cases, som vi selv er stødt på, for eksempel brugere, der er ude i marken og af forskellige årsager ikke har mulighed for MFA. Det tror jeg ikke, vi skal komme nærmere ind på i den her snak. Mathias: I stedet kan du kombinere kravene for at give adgang til kun de her applikationer. Brugeren får altså ikke adgang til alt, som man ellers kender det for all apps. Det er en bestemt håndfuld applikationer, og kun hvis brugeren kommer fra et Compliant Device og en Compliant Network Location. Mathias: Så holder du MFA-delen udenfor for at gøre det nemmere for de her brugere, men du holder stadig dit sikkerhedsniveau på et ret godt niveau. Christian: Det er selvfølgelig en spændende snak at tage: Hvornår skal MFA bruges? Jeg tror også, at vi i mange år har vænnet os til, at MFA er lidt af en silver bullet til mange ting. Christian: Men vi har jo også talt om, at MFA ikke kan stå alene. Det skal gerne komplementeres af andre ting. Christian: Det er også derfor, vi sætter rettigheder ind i selve systemet. Når du først er kommet ind med MFA, får du heller ikke lov til at se alle filer eller det, som det måtte være. Christian: Ved introduktionen af GSA og med den tilgang, at det kun kræver P1 eller P2 for at bruge Microsoft Traffic Profile, kan du ret hurtigt højne din sikkerhed. Mathias: Det er måske lige værd at nævne, at du så skal have GSA-klienten installeret på din computer eller dit mobile device. Den findes også til mobile devices. Christian: Det gør det også interessant at tale om i et andet afsnit: tunnel-VPN versus GSA, og hvad fordelene og ulemperne er ved de to løsninger.

Mattias: Så hvis jeg forstår det rigtigt, så har vi den traditionelle VPN, hvor du installerer en app, du har måske et certificat for at lave en trust til din backend, hvor den siger, hey, det er mig, du kan stole på mig, jeg vil gerne ind. Og den VPN-adgang, som jeg kender fra lidt ældre dage, der får du bare adgang til vores nu on-prem infrastruktur, så nu kan jeg gøre, hvad jeg vil. Men med GSA, som jeg forstår det, kan du sætte meget forskellige små access-modeller op, så jeg ikke bare kan lave spray-attack, når jeg er kommet på indersiden, men at jeg har adgang til den ressource og ikke andet. Og det, som jeg forstår, det er jo en del af Zero Trust at lave adgangskontrol på den måde, så det synes jeg lyder enormt smart. Christian: Det er enormt interessant og enormt spændende og smart. Det også, at du har mulighed for at segmentere din adgang på netværksniveauet i forhold til, hvad vi kan huske fra Force-tunnelen, som var alt eller intet, eller Split-tunnelen, som var alle interne ressourcer, og så Facebook og alt andet. Det var så på din egen regning, så at sige, hvor GSA giver os muligheden med private access-delen, som det kræver så en anden licens, lige at pointere, at man kan segmentere den vej op igennem, at når du har adgang til det her, så er kun det, du kan se på netværkssiden. Du kan ikke se domænekontroller, når der er filserum, hvis du ikke har adgang til det. Så det gør enormt mange gode muligheder for at give en Zero Trust. Og man kan jo starte meget nemt, fordi hvis man har P1 eller P2, og så begynde at bruge i hvert fald på sine single sign-on apps og stille det krav, i hvert fald, at man skal måske lige passe på til at starte med, vil jeg bare sige, all apps require a compliant network, fordi så, uden at man har rullet appen ud, så bliver det lidt et lock-out. Men det er jo noget, man kan dykke ned i også i et afsnit, synes jeg. Mattias: Men igen, så synes jeg, at det er en spændende case, fordi igen, jeg kommer fra endpointet, så jeg kigger fra endpointets view her, og vi har stadigvæk en netværksstrive, som vi gerne vil mappe op. Vi har stadigvæk printerer, som måske er attached til en on-prem server. Og det kræver jo bare, at så er der nødt til at være en eller anden form for insight. Og det kan vi jo så gøre her med GSA, hvilket jo er ultra smart, ikke?

Christian: Jo, jeg vil sige, at lige inden vi runder af, kan man jo nævne, at de har jo tilføjet, så hvis du har et GSA-klient, næste leder, og du sidder på kontoret, så slipper du faktisk for, at du skal op til skyen og ned igen for at tilgå din fileserver, så kan den godt bare gå til fileserveren den vej igennem. Også for ikke at skabe unødvendig omvej den vej igennem og latency. Mattias: Så det er simpelthen location aware? Christian: Ja, jeg har et navn for det, men jeg kan simpelthen ikke huske det. Det er et lidt langt navn, men det giver meget god mening, når man hører det. Jeg beklager ikke at huske det.

Mattias: Nej, det er fint. Men okay, så der var også en ting, vi lige snakkede om, inden vi startede optagelsen her. Det var, kan GSA gå ind og erstatte Clom Compliant Device signalet? Og kan vi ikke bare installere GSA-klienten på et bring-your-own-device, altså et device, du ikke styrer? Bare dele ud af den. Og så require MFA og phishing resistant osv. osv. osv. Og jeg synes, det er en interessant case i forhold til den her bring-your-own, hvor du gerne vil give adgang til, at medarbejdere, som ikke har fået udleveret, det kunne være studentermiddelhjælp, og det kunne være alle mulige forskellige typer af personer, der arbejder i en eller anden konstellation, hvor det ikke giver mening, eller der ikke er økonomi til, at man går ind og betaler for, at man kan få en laptop. Der kunne man jo bruge det her til ligesom at sige, at vi vil gerne sikre, at din identitet er sikret, men vi vil heller ikke bare give dig adgang til alt muligt. Så i det her tilfælde vil det ikke kun være en on-prem-ressource, men det kunne faktisk også være en ressource i din tenant. Er det ikke rigtigt? Christian: Ja, det er korrekt, ja. Du har muligheden for at skåbe, så at sige, bestemte brugertyper til at stille kravet om, at de skal have MFA eller komme fra Compliant Network, og ellers så begge dele samtidig, så det giver jo også en ny mulighed for at være mere fleksibel i forhold til Compliant Device, altså det er måske lidt hot take, og her har lidt kaldt det med, at kan GSA eller kan Compliant Network Device, kan Compliant Network-signalet erstatte Compliant Device-signalet? Jeg tror, svaret er måske ja, i nogle tilfælde ja, og for nogle use cases, synes jeg, kan gøre. For det giver dig den større fleksibilitet, og det kan jo igen også være på mobiltelefoner, og det er en anden snak med mobiltelefoner omkring det her, men jeg synes, det har sin merit, at man kan bruge det som et alternativ til Compliant Device-signalet, helt klart, og der synes jeg, det en spændende take på det. Mattias: Så vil jeg bare lige runde af med at sige, man skal altid tænke på, hvordan kommer vi ind i forretning? Så har du MFA, har du Phishing Resistance, osv., osv., osv. Det kan godt være, at lige er nok, men det her med at bygge sikkerhed, det er ligesom et løg. Du skal bygge lag på lag på lag på lag. Får du kompromiseret det ene lag, så har du det næste lag, der tager over. Så Compliant Device, det vil jeg altid anbefale, så hvis du kan styre devicen, du kan få Compliant Device. Rigtig, rigtig god ting at have. Det her, det giver et rigtig godt udgangspunkt i forhold til nogle use-cases. Det synes jeg er ultra smart, men du har stadigvæk en bruger i den anden ende, der selv skal installere GSA-appen, der selv skal logge ind, bruge MFA, osv. Er du Intune-managed, så kan du deploye den med Intune, og hvad end, der kræver rundt om appen for at holde til. Og så vil jeg også bare sige det, at vi alle sammen kan relatere til, det er, når du skal oprette et mit-ID som borger i Danmark, så kræver det, at du har et pas. Det kræver, at du har en eller anden identitet, en eller anden kontrol, som på ingen måde kan spoofes. Jeg kan ikke gå ud og lave et fake pass, det kan jeg ikke lade sig gøre. Så du er nødt til at have en eller anden ting, der gør, at vi sikrer, at det er dig, der er i gang med at on-boarde, det dig, der er i gang med at lave noget her på dine vegne. Og der er så et hul, der siger, nu må du gerne komme ind, fordi nu har jeg opfyldt alle de kriterier. Og lige med mit-ID. Jamen, det med passet. Det giver rigtig god mening. Jeg kan komme ind og få mit-ID, og så har du så flere faktorer på din telefon, og du har både bar-kode-scan eller QR-scan, osv., osv. Men det gælder jo også, når du skal unboarde et eller andet ind i en tenant. Det gælder, når du skal have unboardet din laptop, det gælder, når du skal have unboardet din telefon og alle de her ting. Så vi er bare nødt til at have et eller andet, vi kan stole på, og det er virkeligheden essensen her, er det ikke det? Christian: Jo, det er meget godt grebet rundt om der, synes jeg. Især omkring løjet, den rammer det, fordi især sikkerhed af lag, det er ikke et enkelt element, der skal klare det hele. Det må ikke bare være firewallen, der beskytter dig, eller MFA, eller kun compliant device. Det er flere lag af sikkerhed. Jo flere lag, du har, jo bedre står du, fordi altid, hvor du bliver kompromitteret, den er høj, fordi det er den verden, vi lever i. Og jo mere du kan gøre for at beskytte dig, jo bedre står du også. Mattias: Og Christian, lige her på faldrevet. Og det kan godt være, at det er for tidligt. Men kunne vi have forhindret 8,8 millioner records at blive læst i FC Fjerderegisteret? Christian: Ja, det kunne vi godt. På mange forskellige måder, det vil jeg ikke komme ind på her. Mattias: Men jeg tror, vi skal afslutte her, skal vi ikke det? Christian: Det skal vi. Tak for at du var med igen, Mathias. Det er altid hyggeligt. Vi ses.