Затворете временния преглед, преди да стане постоянен

Рецензент, който не може да се присъедини към VPN, се нуждае от връзка за един следобед, а до вечерта производствената услуга има публично име на хост, за което никой не помни да е одобрявал. Заявката беше малка; промяната — не. Временният преглед е нов път за достъп с аудитория, обхват на данните и краен срок. Отнасяйте се към него като към всеки друг вход, защото думата временен не затваря нищо.

Временно е продължителност, а не контрол

Думата временен описва колко дълго нещо трябва да съществува, а не какво го ограничава, докато съществува. Публично име на хост без срок на валидност е постоянно в момента, в който човекът, който го е създал, смени екипа.

Преди нещо да бъде изложено, собственикът на услугата и собственикът на сигурността трябва да одобрят три неща: аудиторията, данните и продължителността.

Съществуваща среда за гост VPN или за рецензия често е по-проста от публикуването на производствената услуга. Тя вече има собственик, път за одобрение и процес за премахване. Изграждането на ново изключение за един следобед е начинът, по който малка заявка се превръща в постоянен актив. Започнете с въпроса дали рецензията може да се случи вътре в нещо, което вече съществува.

Публикувайте една операция, никога подмрежа

Изберете най-малкия вход, който все още поддържа рецензията. Предпочитайте копие в тестова среда с подходящи данни пред производството и удостоверен фронтенд, който достига до един частен източник, пред какъвто и да е маршрут на подмрежа.

Ретранслатор с достъп до VPN не е длъжен да публикува цяла частна подмрежа и със сигурност не трябва да публикува административния интерфейс на шлюза.

Посочете акаунтите, на които е разрешено да преминават, и действията, които могат да извършват. Ограничаването по изходен адрес наистина стеснява кой може да се свърже. То не идентифицира човек, защото публичните адреси са споделени и се променят.

Запазете собствената авторизация на приложението или изрично доверен вход, който познава идентичността. Защитете изтеглянията, API и административните пътища, а не само началната страница. Фронтенд, който прекратява TLS, става доверена крайна точка, а частният маршрут зад него не превръща публичен посетител в член на VPN. Тествайте изключените пътища толкова внимателно, колкото началната страница.

Идентичност на фронтенда, а не по изходния адрес

Правилата по изходен адрес са полезни за стесняване на експозицията и безполезни за доказване кой е рецензентът. Домашните връзки се променят, мобилните мрежи споделят адреси, а колега може да е зад същия NAT.

Прокси, което познава идентичността, или собственият вход на приложението ви дава решение за всеки отделен човек. Именно това прави отнемането възможно по-късно, защото можете да премахнете една идентичност, без да променяте мрежата.

Оставете проверката на сертификата включена и блокирайте директния достъп до източника. Ако източникът все още е достъпен от интернет, фронтендът е просто декорация.

Отнемете правото и маршрута

Запишете собственик и точен срок на валидност в оперативната система, която вече следи достъпа. Използвайте достъп с ограничено време или планирано премахване, където платформата го поддържа, и добавете проверка в случай, че автоматизацията се провали.

В уговорения край прекратете временния фронтенд, разрешението за маршрут и правото на рецензента чрез техните собственици. Съществуващите сесии и дълготрайните връзки се нуждаят от отделна обработка, защото премахнат маршрут не ги прекратява.

Кратък DNS TTL не е изтичане на достъпа. Той променя колко дълго резолверът пази отговора. Той не деактивира акаунт, не прекъсва жива сесия и не затваря порт, който още слуша.

Кешираните копия са част от същия проблем. Свалянето на пътя до източника не връща файл, който някой вече е запазил, а споделен кеш може да сервира копия, след като ретранслаторът е изчезнал. Изберете политика за отговори и съхранение преди началото на рецензията.

Проверете дали старият път наистина е изчезнал

Приемането е нова заявка, която се проваля, плюс обичайния работен процес на VPN, който все още работи. Тествайте и двете, защото премахване, което чупи обичайния път, не е чисто премахване.

Отвън извън мрежата потвърдете, че и името, и източникът са затворени:

dig +short review.example
curl -sSI --max-time 5 https://review.example/
ss -ltnp | grep ':443'

Пазете тесен одитен запис за това какво е одобрено, кой е могъл да го достигне и кога е премахнато. Този запис е разликата между контролирано изключение и необяснено име на хост. Временният преглед успява, когато предостави поисканата рецензия и след това спре да я предоставя. Изчезването на URL от съобщение в чат не е такъв тест.