Access conditions¶
De module Access conditions definieert regels die, zodra ze aan een access policy zijn gekoppeld, gebruikers de verbinding met het gebruikersportaal toestaan of weigeren op basis van een technisch criterium (IP-adres, tijdvenster, browser, besturingssysteem, certificaat, attribuut van het gebruikersprofiel enzovoort).
Een voorwaarde wordt op het moment van de verbinding geëvalueerd: als ze geldig is, wordt de bijbehorende actie toegepast (toestaan of weigeren).
Lijst van voorwaarden¶
De tabel toont alle bestaande voorwaarden, per 15, 25 of 50 vermeldingen gepagineerd.
| Kolom | Beschrijving |
|---|---|
| Name | Benaming van de voorwaarde, voorafgegaan door een pictogram dat het type en de beslissing weergeeft (toestaan of weigeren). |
| Type | Type van de voorwaarde (zie onderstaande tabel). |
| Condition | Tekstuele samenvatting van de geconfigureerde parameters (IP-bereiken, datums, browsers enzovoort). |
Het zoekveld rechtsboven filtert de lijst op naam.
Een voorwaarde toevoegen¶
Een klik op de knop + opent het formulier voor het aanmaken. Velden die alle typen gemeen hebben:
| Veld | Beschrijving |
|---|---|
| Condition type | Verplicht. Bepaalt de aard van de regel (zie onderstaande tabel). Niet meer wijzigbaar na de eerste keer opslaan. |
| Name | Verplicht. |
| Description | Vrije tekst. |
| Access | Twee mogelijkheden: Allow if valid (standaard) of Deny if valid. |
| Notify the user if invalid | Als dit is aangevinkt, ziet de gebruiker een bericht wanneer de voorwaarde de toegang weigert. |
| Log if invalid | Als dit is aangevinkt, wordt bij een weigering een vermelding in de log geschreven. |
Beschikbare typen¶
| Type | Uitgevoerde controle | Client vereist |
|---|---|---|
| Connection address | URL waarmee de gebruiker de CyberElements-tenant bereikt. | Nee |
| Antispyware | Aanwezigheid van een actieve antispyware op het werkstation. | Ja |
| Antivirus | Aanwezigheid van een actieve antivirus op het werkstation. | Ja |
| Windows Security Center | Status van de beveiligingsinstellingen van Windows (automatische update, instellingen van Internet Explorer, UAC). | Ja |
| Certificate | Certificaat dat de browser voorlegt om zich bij de webinterface te authenticeren. | Nee |
| Date | Datumbereik, tijdvenster, lijst van maanden, dagen van de week. | Nee |
| IP | IP- of domeinadres, IP-bereik of subnet. | Nee |
| MD5 | Aanwezigheid van een bestand op een bepaald pad met een verwachte MD5-controlesom. | Ja |
| Meta-rule | Logische combinatie (AND / OR) van minstens twee andere bestaande voorwaarden. | Afhankelijk van de gecombineerde voorwaarden |
| Browser | Browser die de client gebruikt. | Nee |
| Operating system | Besturingssysteem dat op het werkstation is gedetecteerd. | Ja, tenzij Use the User-Agent is aangevinkt |
| Firewall | Aanwezigheid van een actieve firewall. | Ja |
| System | Lokale controle (bestand, volumenummer, serienummer van de schijf, actief proces, registersleutel). | Ja |
| User | Aanwezigheid of waarde van een attribuut van het gebruikersprofiel. | Nee |
| FIDO2 | Authenticatie van de gebruiker via een FIDO2-/WebAuthn-sleutel. | Nee |
De kolom ”Client vereist”
Sommige controles betreffen de toestand van het werkstation: ze worden lokaal uitgevoerd en vereisen daarom dat de CyberElements-client op het werkstation van de gebruiker is geïnstalleerd. Als de client ontbreekt, kan een voorwaarde die hem nodig heeft niet worden geëvalueerd en wordt ze als ongeldig beschouwd — wat met name geldt voor verbindingen vanuit Cleanroom Desktop.
Parameters per type¶
| Veld | Beschrijving |
|---|---|
| Domain | Hostgedeelte van de URL van de tenant (zonder https:// en zonder pad). Aanvaardt letters, cijfers, koppeltekens, de punt en tekens van reguliere expressies. |
Er worden twee modi aangeboden:
| Modus | Beschrijving |
|---|---|
| User authenticated using a certificate (standaard) | Controleert of de gebruiker zich met een certificaat heeft geauthenticeerd. |
| Test certificate's contents | Vergelijkt daarnaast een veld van het certificaat met een veld van het gebruikersprofiel. |
Aanvullende velden voor de tweede modus:
| Veld | Beschrijving |
|---|---|
| Certificate field | Vervolgkeuzelijst: DN field of the user certificate, CN field of the user certificate (standaard), Email field of the user certificate, O field of the user certificate, OR field of the user certificate of PEM-encoded certificate for client X509. |
| User profile field | Veld van het gebruikersprofiel waarvan de waarde wordt vergeleken. |
Minstens een van de vier opties moet zijn aangevinkt; de actieve opties worden gecombineerd met een logische AND.
| Optie | Beschrijving |
|---|---|
| Date | Datumbereik (begin, einde). De einddatum mag niet vóór de begindatum liggen. |
| Hour | Tijdvenster (HH:MM). De eindtijd moet na de begintijd liggen (tenzij de voorwaarde zich over meerdere dagen uitstrekt). |
| Month | Twaalf vakjes, standaard alle aangevinkt. |
| Day of the week | Zeven vakjes, standaard alle aangevinkt. |
Drie modi die elkaar uitsluiten:
| Modus | Velden |
|---|---|
| IP or domain list | Een of meer IPv4-adressen, gescheiden door ;. |
| IP range | Begin-IP en eind-IP. |
| Subnetwork | IP en masker (CIDR 0 tot 32). |
| Veld | Beschrijving |
|---|---|
| File path | Volledig pad (bijvoorbeeld C:\Test.ext). |
| MD5 checksum | Hexadecimaal getal van 32 tekens. |
Via een link kan het Windows-hulpprogramma voor MD5-controlesommen van CyberElements worden gedownload.
| Veld | Beschrijving |
|---|---|
| Logical operator | AND (standaard) of OR. |
| Component rules | Sleep minstens twee voorwaarden van de linkerkolom naar de rechterkolom. Een metaregel kan niet naar zichzelf verwijzen, noch naar een metaregel die al in haar eigen hiërarchie wordt gebruikt. |
Vakjes voor de browsers die moeten worden gedetecteerd: Internet Explorer 7 tot 11, Konqueror, Firefox, Safari, Chrome, Opera, Edge. De optie Other activeert een vrij tekstveld voor de exacte naam van een andere browser. Standaard is Internet Explorer aangevinkt.
Verbindingen vanuit Cleanroom Desktop afzonderen
Het platform ziet Cleanroom Desktop als een browser: het identificeert zich met een user-agent in de vorm Cleanroom Desktop 1.2.3.4. Other aanvinken en Cleanroom Desktop invoeren richt zich dus op de toegang vanuit die client. Gekoppeld aan een access policy laat de voorwaarde toe bepaalde resources voor te behouden aan de Desktop-client en andere aan het gebruikersportaal.
| Optie | Beschrijving |
|---|---|
| Use the User-Agent | Als dit is aangevinkt, baseert de detectie zich op de header User-Agent en niet op de lokale agent. |
| Lijst van systemen | Vakjes (Windows XP tot 11, Windows Server 2003 tot 2022, Linux, MacOS X, Vista, 9x, NT, CE enzovoort). De optie Other activeert een vrij tekstveld. Er moet minstens één vakje zijn aangevinkt. |
Lokale controle, in een van deze modi:
| Modus | Beschrijving | Validatie van de lijst |
|---|---|---|
| File | Lijst van te controleren bestandspaden. | Alle moeten aanwezig zijn (AND). |
| C:\ volume number | Lijst van volumenummers (een downloadbaar hulpprogramma helpt ze op te vragen). | Eén enkel moet overeenkomen (OR). |
| Hard disk serial number | Lijst van serienummers. | Eén enkel moet overeenkomen (OR). |
| Running process | Lijst van procesnamen. | Alle moeten actief zijn (AND). |
| Registry Key | Lijst van sleutels of waarden in de vorm HKEY_LOCAL_MACHINE\path\name=value. |
Alle moeten bestaan, waar van toepassing met de opgegeven waarde (AND). |
Voer in elke modus de waarde in en klik op Add om ze in de tabel op te nemen. Elke rij kan afzonderlijk worden verwijderd (met bevestiging).
De logica verschilt van modus tot modus
De twee hardwaremodi — C:\ volume number en Hard disk serial number — zijn vervuld zodra één enkele waarde in de lijst overeenkomt: daar somt de lijst de toegestane werkstations op. De drie andere modi vereisen dat alle waarden worden gecontroleerd.
| Veld | Beschrijving |
|---|---|
| Attribute name | Te controleren attribuut van het gebruikersprofiel (bijvoorbeeld mail, employeeID, mobile). |
| Attribute value | Optioneel. Expressie die met de teruggegeven waarde wordt vergeleken. Blijft het veld leeg, dan controleert de voorwaarde alleen of het attribuut een waarde bevat. |
| Exclusive comparison | Als dit is aangevinkt, moet de expressie vanaf het begin van de waarde overeenkomen; anders mag ze op een willekeurige plaats in de waarde overeenkomen. |
Ondersteunde domeintypen
Deze voorwaarde is niet beperkt tot directory's: bij een LDAP-domein worden de attributen uit de directory gelezen, bij een lokaal domein uit de database. Bij de overige domeintypen — met name SAML — wordt geen enkel attribuut teruggegeven, zodat de voorwaarde daar nooit geldig is, wat van belang is afhankelijk van of ze op Allow of op Deny is ingesteld.
Een voorwaarde wijzigen¶
Selecteer de voorwaarde in de lijst en klik op het pictogram Properties, of dubbelklik op de rij. Dezelfde velden als bij het aanmaken worden weergegeven, behalve Type, dat alleen-lezen wordt.
Een voorwaarde verwijderen¶
Selecteer een of meer voorwaarden en klik op de knop ×. Het verwijderen vraagt een bevestiging. Meervoudige selectie wordt ondersteund.