MFA xidməti sıradan çıxdı: VPN-ə buraxılışı uğursuzluqdan əvvəl qərarlaşdırın

VPN-ə buraxılış dayanır və xəbərdarlıq ikinci faktor xidmətinin əlçatmaz olduğunu bildirir. Kiminsə hələ də qoşula bilib-bilməməsi kəsintidən əvvəl cavablandırılmalı olan siyasət sualıdır, kəsinti zamanı deyil. Əlçatmaz yoxlayıcı faktorun keçdiyinə dəlil deyil və rədd edilmiş çağırış əlçatmaz olanla eyni hadisə deyil. Aşağıdakı iş təlimatı bu fərqi sınaya biləcəyiniz yazılı qaydaya çevirir.

Addım 1: üç nəticəni ayrı-ayrı adlandırın

Üç vəziyyəti yazın və onları birləşdirməkdən imtina edin: əsas autentifikasiya uğursuz oldu, ikinci faktor çağırışı rədd edildi və ya vaxtı bitdi, və MFA xidməti heç cavab vermədi. Hər birinin fərqli sahibi, fərqli jurnal sətri və fərqli düzgün cavabı var. Tək ümumi vaxt aşımı mesajı hansında olduğunuzu gizlədir və kəsintini mübahisəyə çevirən məhz bu qeyri-müəyyənlikdir. Vəziyyətləri onlara ehtiyac duymadan əvvəl iş təlimatında adlandırın.

Rədd cavabı yoxlayıcının cavab verib «yox» dediyi anlamına gəlir ki, bu, əlçatanlıq problemi deyil, siyasət nəticəsidir. Vaxtı bitmiş cəhd çağırışın mövcud olduğu və heç kimin onu vaxtında tamamlamadığı anlamına gəlir. Əlçatmaz xidmət sualın ümumiyyətlə cavablandırılmadığı anlamına gəlir. Yalnız üçüncüsü kəsintidir.

Addım 2: proxy-nin həqiqətən istifadə etdiyi nasazlıq rejimini oxuyun

Xidmətlə əlaqə saxlanmadıqda davranışı idarə edən parametri tapın və onu şablondan deyil, işləyən konfiqurasiyadan oxuyun. Duo-nun RADIUS proxy-sində sənədləşdirilmiş failmode dəyərləri safe və secure-dir; safe yalnız əsas autentifikasiya uğurlu olduqda cəhdə icazə verir, secure isə bu şərtdə cəhdi rədd edir.

radtest alice '' 127.0.0.1 0 testing123
journalctl -u duo-authproxy -n 50 --no-pager

safe adı əlçatanlıq seçimini təsvir edir, hər qəbul edilmiş sessiyanın təzə ikinci faktoru olduğuna zəmanət deyil. Bu cümlə risk reyestrinə aiddir, çünki bu, parametrin etdiyi dəqiq mübadilədir. Dəyəri başqa provayderə, başqa inteqrasiyaya və ya fərqli proxy rejiminə ümumiləşdirməyin; həmin məhsulun öz ekvivalenti üçün sənədlərini oxuyun. Bu anlayış olmadan satıcı nümunəsindən kopyalanmış konfiqurasiya növbəti kəsintini gözləyən sürprizdir.

Heç kim hansı rejimin aktiv olduğunu deyə bilmirsə, dayanın. İş təlimatının qalan hissəsi bu cavabdan asılıdır.

Addım 3: təkrar cəhdləri axına uyğunlaşdırın

Şlüzun vaxt aşımını və təkrar cəhd davranışını idarə etdiyi autentifikasiya axını ilə uyğunlaşdırın. Əlaqələndirilməmiş təkrar cəhdlər çoxsaylı sorğular yaradır, cəhd uyğunlaşdırmasını qarışdırır və jurnalı hansı nəticənin hansı girişə aid olduğunu deyə bilməz vəziyyətdə qoyur. Çox uzun vaxt aşımı əlçatanlıq dizaynı deyil; eyni cavab üçün daha uzun gözləmədir.

ss -lunp 'sport = :1812'
tail -n 50 /var/log/duo/authproxy.log

Proxy-nin öz sorğu vaxt aşımı ayrı həddir: verilən və heç vaxt tamamlanmayan autentifikasiya sorğusu rədd edilir və bu rədd geri çəkilinəcək kəsinti deyil. Rəddi, yarımçıq çağırışı və əlçatmaz xidməti qərar cədvəlinizə üç fərqli giriş kimi qəbul edin. Sonra cədvəli açıq edin: hansı vəziyyət buraxır, hansı vəziyyət saxlayır və hansı vəziyyət insana eskalasiya edir.

İki komponent birlikdə təkrar cəhd edirsə, əvvəlcə təkrar cəhd sahibliyini düzəldin. Dublikat sorğular iki sahibin əlamətidir, yavaş xidmətin deyil.

Addım 4: fövqəladə girişi ayrıca idarə edin

Fövqəladə giriş tələb olunursa, ona öz əhatə dairəsini, kimliyini, səlahiyyətini və audit izini verin. Bütün istifadəçilər üçün MFA-nı səssizcə söndürmək fövqəladə prosedur deyil; başına insident bağlanmış daimi zəiflətmədir. Təhlükəsizlik sahibi buraxılış qaydasını, görünürlüyü və eskalasiya yolunu əvvəlcədən təsdiqləyir.

grep -R failmode /etc/duo /etc/radiusclient 2>/dev/null
systemctl status duo-authproxy

Bütün matrisi qeyri-istehsalat mühitində sınayın: əsas uğursuzluq, qəsdən rədd, çağırışın vaxtının bitməsi və xidmətin əlçatmazlığı. Hər biri üçün buraxılış nəticəsini və jurnala yazılan səbəbi qeyd edin. Konfiqurasiya edilmiş davranışı kəşf etmək üçün istehsalat kəsintisi yaratmayın və fövqəladə yolu ilk dəfə onun üçün yazıldığı insident zamanı sınamayın. Heç vaxt işə düşməmiş bərpa proseduru sənəddir, nəzarət deyil.

İş təlimatı üç vəziyyət adlandırıldıqda, nasazlıq rejimi işləyən sistemdən oxunduqda, təkrar cəhdlərin bir sahibi olduqda və fövqəladə girişin öz təsdiqi və baxışı olduqda bitir. Proqnozlaşdırıla bilən tətbiq üstəgəl məlum bərpa yolu sənədləşdirməyə dəyər nəticədir.