Staging is nie produksie nie: gee dit sy eie toegangsgrens

Staging lyk soos ’n toetsstelsel totdat jy die gekopieerde produksiedatabasis, die lewendige e-posbewys en die betalingsleutel in sy omgewing raaksien. Op daardie punt hou die etiket op die oortjie op om saak te maak, en die werklike vraag is wat hierdie ontplooiing kan bereik en wie dit kan bereik. ’n Voordeur-VPN antwoord nie daardie vraag nie, want dit beperk een pad na die stelsel en sê niks oor wat die stelsel op pad uit kan doen nie. Begin by die gehoor en werk uitwaarts.

Begin by die gehoor, nie by die URL nie

Drie gehore lewer drie verskillende ontwerpe. ’n Privaat ingenieursomgewing het identiteit en ’n roete nodig; ’n kliënte-aanvaardingstoets het rekeninge nodig wat kliënte verteenwoordig; ’n openbare demonstrasie het doelbewuste blootstelling met sy eie beheermaatreëls nodig. Om die gehoor eerste neer te skryf, verhoed die gewone wegdryf waar ’n voorskou-URL stilweg permanent word. Alles anders in die oorsig hang van daardie antwoord af.

As niemand die gehoor kan benoem nie, behandel dit as die eerste bevinding eerder as ’n dokumentasiegaping.

Stap deur die voordeur en die oppervlaktes daar agter

Los die name op voordat jy die URL vertrou wat jy gekry het, en vra dan direk vir die administratiewe paadjies.

dig +short staging.example.com
curl -sS -o /dev/null -w "%{http_code}\n" https://staging.example.com/
curl -sS -o /dev/null -w "%{http_code}\n" https://staging.example.com/admin

Ekstra rekords onthul dikwels ’n direkte-oorsprong-adres wat die CDN of die VPN-ingang omseil, wat die beoogde beheer opsioneel maak. ’n Herleiding vertel jou waar die toepassing dink dit woon, en ’n onverwagte skema of gasheernaam verdien ’n opvolg. Om ’n waarskynlike admin-roete te toets behoort ’n weiering te lewer, nie ’n bladsy nie. ’n 200 op ’n ongemagtigde administratiewe pad is die bevinding waarna die hele oorsig gesoek het.

Kyk wat die omgewing kan doen, nie net wat dit wys nie

’n Bladsy wat ’n aanmelding vereis, word steeds met backend-gesag verskeep. Vra watter identiteit die werklas gebruik, en lees dan die beleide wat daaraan geheg is.

aws sts get-caller-identity

Daardie oproep rapporteer die rekening en prinsipaal wat die omgewing werklik gebruik, wat die beginpunt is vir elke stroomaf-toestemmingsvraag. Van daar af, kyk of die identiteit e-pos kan stuur, geld kan beweeg, produksiegeheime kan lees of produksiedata kan skryf. Vervang gedeelde produksiegeloofsbriewe met beperkte staging-identiteite, en verkies verskaffer-sandbokse waar dit bestaan. ’n Toetsrekening wat ’n werklike kaart kan belas, is ’n produksiestelsel met ’n ander gasheernaam.

Hou die grens nadat die oorsig eindig

’n Omgewing word nie deur een oudit beveilig nie; dit word beveilig deur eienaarskap wat personeelwisseling oorleef. Wys wie toegang verwyder, stel toetsdata terug en onttrek die ontplooiing, en gee die voorskou ’n vervaldatum wat iemand moet hernu. Isolasie help net terwyl die geïsoleerde ding onderhou word. Hersien dieselfde paadjies ná die volgende vrystelling, want ’n kenmerkvlag of ’n nuwe integrasie is presies hoe ’n geweierde roete ’n oop een word.

Aanvaar die ontwerp met ’n toegelate werkvloei en een wat geweier word. As albei gedokumenteer optree, bestaan die grens; as net die gelukkige pad getoets is, is dit ’n hoop.