Prihvatanje udaljenog pristupa preko VPC-a zahtijeva testove odbijanja

Prihvatanje udaljenog pristupa je tabela očekivanih ishoda, a ne snimak ekrana radne stranice. Za svaku grupu zapišite šta treba da uspije i šta treba da ne uspije, pa oboje pokrenite na namjenskim testnim identitetima u kontrolisanom prozoru. Odbijanja su dio koji dokazuje granicu; uspješna prijava dokazuje samo da tunel postoji. Sve to funkcioniše s već odabranim VPN proizvodom.

Koristite odvojene račune za testove i označite ih tako da niko ne pomiješa testni identitet sa stvarnim izuzetkom.

Zapišite granicu kao očekivane rezultate

Pođite od uloga, a ne od komponenti: kome treba koja usluga, odakle i s kojim identitetom. Uzmite ilustrativni VPC: jednoj grupi treba testno okruženje preko HTTPS-a, drugoj produkcijska baza podataka, a treća i manja grupa administrira sam pristupnik. Svaki red dobija očekivano dopuštenje i očekivano odbijanje, uključujući susjednu uslugu i susjedni račun koji ne bi trebalo da rade. Ta tabela je kriterij prihvatanja i ljudi koji ne izvode testove mogu je pregledati.

Testirajte prijavu na bazu podataka odvojeno od mrežne putanje. Dostupan TCP port ne bi trebalo da učini uspješnim neodobreni račun baze podataka, a članstvo u VPN-u ne bi trebalo da stvori oblak IAM ulogu ili da dodijeli administrativni pristup API-ju. To su tri nezavisne kontrole i one padaju nezavisno.

Ruta nije autorizacija

Ruta čini putanju mogućom; ona ne daje dozvolu. Uskraćivanje rute je slaba zamjena za ograničenje koje se sprovodi na odredištu, jer klijent uvijek može dodati vlastitu rutu. Sigurnosna grupa, odobrenje baze podataka i vlastita autorizacija aplikacije ostaju kontrole koje odlučuju. Kada test neočekivano uspije, prvo pogledajte politiku odredišta, a ne tabelu rutiranja koju ste namjeravali dati klijentu.

Zato testovi odbijanja ciljaju serversku stranu: ti rezultati se ne mogu promijeniti uređivanjem klijenta.

Koji izvor kontrola zapravo vidi?

Adresa izvora koju kontrola procjenjuje zavisi od arhitekture pristupnika. Pristupnik hostovan na EC2 može prosljeđivati rutirani bazen, prevesti ga u vlastitu adresu ili nakon NAT-a prikazati drugu adresu; upravljani Client VPN se povezuje s podmrežom i slijedi vlastiti model. Sigurnosne grupe i mrežni ACL-ovi vide sve što stigne nakon te obrade. Provjera pravila prema pogrešnoj pretpostavci o izvoru čest je način da se izgradi granica koja izgleda ispravno i propušta pogrešan saobraćaj.

Povežite svaki rezultat s najmanjim korisnim događajem: identitet i sesija, resurs, operacija, vrijeme i odluka. Poziv API-ja u CloudTrail-u, zapis toka u VPC-u i dnevnik VPN sesije odgovaraju na različita pitanja i nijedan sam nije revizija aplikacije.

Povucite identitet i ponovo ga testirajte

Uključite povlačenje u istu tabelu. Uklonite testni identitet, potvrdite da je nova sesija odbijena, pa odvojeno potvrdite kako se tretiraju postojeće sesije, jer su to različita ponašanja s različitim vlasnicima. Provjerite šta se dešava nakon ponovnog pokretanja ili zamjene pristupnika, da ručno dodati izuzetak ne nestane tiho ili se ne vrati širi. Granica koja traje samo do sljedećeg postavljanja nije granica.

Ništa od ovoga ne zamjenjuje zakrpe, oporavak ili rad na životnom ciklusu akreditiva. Ovo čini uže obećanje mjerljivim: pravi ljudi dolaze do pravih usluga, dok obližnje rute, računi i upravljačke površine ostaju izvan odobrenja.

Držite tabelu uz postavljanje i ponovo je pokrenite kada se pristupnik promijeni. Testovi su jeftini; pretpostavke iza njih nisu.