Uç nokta ajanını dağıtma

Uç nokta ajanı, yönetilen bir cihazın yapay zeka hedeflerine giden HTTPS trafiğini yakalar, CID'nin verdiği bir sertifika otoritesiyle şifresini çözer ve her istek için cihazdan izin verme, maskeleme ya da engelleme kararı ister. Bir dizüstü bilgisayarı kurumsal ağın dışına kadar izleyen ve yalnızca tarayıcılara değil masaüstü yapay zeka uygulamalarına ve komut satırı araçlarına da erişen tek yüzeydir.

Neyin, nerede kanıtlandığı

Bir dağıtımı planlamadan önce bunu okuyun. Ajanın kapsamı platformlar arasında tekdüze değildir.

Bir filo oluşturun

Filo, tek bir imzalı politikayı paylaşan cihazlar grubudur. Kayıt jetonu, yeni kurulmuş bir paketi kayıtlı bir cihaza dönüştüren şeydir.

Paketleri yayımlayın

Paketleri cihazın kendisi sunar; bu yüzden hava boşluklu bir sahanın dışarıdan hiçbir şeye ihtiyacı olmaz.

https://<appliance-fqdn>/repo/cid-gpg-key.asc
https://<appliance-fqdn>/repo/apt/…
https://<appliance-fqdn>/repo/yum/…

Kurun ve kaydedin

# 1. add the signed repository (apt shown; RHEL/Fedora drops a cid.repo instead)
CID_APPLIANCE=https://<appliance-fqdn> sh apt-setup.sh
 
# 2. install
sudo apt-get install -y cid-endpoint-agent
 
# 3. enrol
sudo cid-endpoint-agent bootstrap \
  --endpoint https://<appliance-fqdn> \
  --token <enrollment-token> \
  --admin-token <admin-password>
 
# 4. start
sudo systemctl start cid-endpoint-agent

Yönetim aracınızla gönderin

Her yol aynı üç girdiyi taşır. Cihaz başına başka hiçbir şey yoktur.

İstemcilerin ajanın sertifika otoritesine güvenmesini sağlayın

Yakalama, yalnızca istemcinin ajanın sertifikasına güvendiği yerde çalışır. Farklı istemciler farklı güven depolarını okur ve ajan bunların tümünü hazırlamaz.

Linux'ta ajan güveni her uzlaştırmada kendisi hazırlar: sertifikayı sistem deposuna kurar, birleşik bir paket yazar, Node, Python, curl ve git ortam değişkenlerini o pakete yönlendiren makine genelinde bir profil betiği bırakır ve sertifikayı her kullanıcının tarayıcı sertifika deposuna aktarır. Kaldırma bunların tümünü geri alır.

Yönetilen bir filo için sertifikayı ayrıca tarayıcı kurumsal politikasıyla gönderin. Bu, profil oluşturmayla yarışan ajanın kullanıcı bazlı içe aktarmasından daha güvenilirdir.

Doğrulama

1. Cihazda cid-endpoint-agent status komutunu çalıştırın. Cihaz kimliğini, uç noktayı, cihazın kayıtlı olup olmadığını, bir politika paketinin uygulanıp uygulanmadığını ve son satırı, yakalayıcı çalışıyor ve sertifika otoritesi kuruluyken ENFORCING (zorluyor) yazan bir enforcement (zorlama) bloğunu yazdırır.
2. Yönetim → Uç Nokta Ajanı ekranını açın ve filoyu seçin. Cihaz; ana bilgisayar adı, ajan sürümü, son görülme zamanı ve uygulanan politika sürümüyle envanterde görünür. Uygulanan sürümü filonun politika sürümünün gerisinde kalan bir cihaz değişikliği henüz almamıştır.
3. O cihazdan, filonun yapay zeka hedeflerinden birine test kişisel verisi içeren bir istem gönderin. İstek, makineden çıkmadan maskelenir. Tüm Tespitler ekranını açın, Kaynak alanını Uç nokta ajanları yapın ve satırın bir maskeleme kararı taşıdığını doğrulayın.
4. Politikanın dışındaki bir hedefe dokunulmadığını doğrulayın: alan adıyla kapsamlanmış bir filoda sıradan web trafiğinde yakalama ve sertifika değişikliği görünmemelidir.
5. Cihazı yeniden başlatın. cid-endpoint-agent status, hiçbir müdahale olmadan yeniden ENFORCING bildirir.

Ajanı kaldırma

Kaldırma, cihazın başlatıldığı yönetici parolasıyla kapı altındadır.

sudo CID_UNINSTALL_TOKEN=<admin-password> apt-get remove cid-endpoint-agent

Geri alma Linux'ta doğrulanmıştır: güvenlik duvarı tablosu, ortam betiği, birleşik paket, sistem sertifikası ve tarayıcı deposu girdisinin tümü kaldırılır ve yapay zeka hedeflerine sonrasında normal biçimde erişilir.

Başarısız olursa

• cid-endpoint-agent status zorlama yapılmadığını bildiriyor — ya birlikte gelen vekil dinlemiyordur ya da sertifika üretilmemiştir. Hizmetin çalıştığını denetleyin ve günlüğünü okuyun; ajan vekili bir gözetleyici altında yeniden başlatır, yani kalıcı bir arıza bir çökme döngüsü değil bir yapılandırma sorunudur.
• Bir komut satırı aracı, doğrulanmamış uç sertifika hatasıyla başarısız oluyor — o istemci, ajanın hazırlamadığı bir güven deposunu okuyordur ya da hazırlık çalışmadan önce başlatılmıştır. Süreci yeniden başlatın; Windows ve macOS'ta depoyu kendiniz hazırlayın.
• Bir tarayıcı bir yapay zeka sitesinde sertifika hatası gösteriyor — sertifika o tarayıcının kendi deposunda değildir. Tarayıcı kurumsal politikasıyla gönderin.
• Cihaz filo envanterinde hiç görünmüyor — kayıt tamamlanmamıştır. Uç noktaya cihazdan erişilebildiğini ve dağıtım paketini hazırladığınızdan bu yana kayıt jetonunun döndürülmediğini doğrulayın.
• Cihaz kayıtlı ama uygulanan politika sürümü filonun gerisinde — yoklama henüz gelmemiştir ya da cihaz çevrimdışıdır. Yoklama temposunda yerine oturur; itme yoktur.
• Bir politika hedefine giden trafik hiç denetlenmiyor — hedefin önünde bir içerik dağıtım ağı vardır ve istemcinin çözümlediği adres, ajanın yönlendirdiği kümede değildir. Aşağıdaki eksiklere bakın.
• Paket kaldırma reddediliyor — cihaz bir kaldırma jetonu taşıyordur. Kaldırmayı, filonun yönetici parolası ortamda olacak biçimde yeniden çalıştırın.

Bilinen eksikler

Bunları bir müşteri keşfetmeden önce söyleyin.

• Yönlendirme sunucu adına göre değil adrese göredir. Ajan her politika hedefini bir adres kümesine çözümler ve bunları yönlendirir. Anycast altyapısındaki bir hedef farklı istemcilere farklı adresler verir; bu yüzden trafik doğrudan ve denetlenmeden gidebilir. Çözüm, TLS el sıkışmasındaki ada dayalı yakalamadır ve yapılmamıştır.
• Paylaşılan ön yüzler yan etkili yakalamaya yol açar. Testte bir tüketici yapay zeka ana bilgisayar adı, büyük bir sağlayıcıya ait sekiz paylaşılan adrese açıldı. Böyle bir adresi paylaşan ve ajanın sertifikasına güvenmeyen yapay zeka dışı istemciler bozulabilir.
• Tek bir adresteki iki ana bilgisayar adı ayrılamaz. Bir sağlayıcının web uygulaması ile API'si sıklıkla aynı adrese çözümlenir; birini yönlendirmek ikisini de yönlendirir.
• Sertifika sabitleyen uygulamalar denetlenemez. Bunların günlüklenip geçirileceğine mi yoksa engelleneceğine mi politika karar verir. Üçüncü bir seçenek yoktur.
• Paylaşılan bir filo sertifika otoritesi yoktur. Her cihaz kendi ürettiği bir sertifikaya güvenir; yani merkezî olarak dağıtılacak ya da iptal edilecek tek bir otorite yoktur. Paylaşılan ve iptal edilebilir bir filo otoritesi planlanmıştır.
• Filonun politika imzalama anahtarı ağ geçidi veritabanında şifresiz saklanır. O satıra erişen herkes bir politika paketi sahteleyebilir. Bunu şifrelemek sürüm öncesi bir maddedir.
• Web ön yüzü denetim kuralları bayatlar. Bir sağlayıcının istem gönderme isteğini tanıyan kurallar kırılgandır: bir sağlayıcı uç noktasını taşıdı ve birlikte gelen kural sessizce eşleşmeyi bıraktı; böylece istemler denetlenmeden geçti. Sağlayıcı API uç noktaları, web uygulamalarından çok daha kararlıdır.
• Uç nokta ajanının denetim kuralları kopyası derleme çıktısıdır. Paketleme sırasında satır içi vekilden kopyalanır ve derlemeler arasında bayatlar. Her zaman yeni derlenmiş bir paketi sınayın, bayat bir çalışma kopyasını değil.
• Dağıtım halkaları saklanır ama sunulmaz. Bir filo kanarya, geniş ya da tümü halkasını kaydeder; politika henüz halkaya göre farklı sunulmaz.

Sonraki adımlar

• Uç Nokta Ajanı — filo konsolu: politika düzenleme, acil durdurma, cihaz sağlığı ve cihaz başına komutlar.
• Tarayıcı eklentisi — yalnızca tarayıcı kapsamı için sertifika otoritesi ve yakalama gerektirmeyen daha hafif yüzey.
• Topolojiler — uç nokta ajanının satır içi vekille ve üçüncü taraf bir güvenli web ağ geçidiyle nasıl birlikte çalıştığı.