Zavřete dočasný náhled, než se stane trvalým

Recenzent, který se nemůže připojit k VPN, potřebuje odkaz na jedno odpoledne, a do večera má produkční služba veřejné jméno hostitele, o kterém si nikdo nepamatuje, že ho schválil. Žádost byla malá; změna ne. Dočasný náhled je nová přístupová cesta s publikem, rozsahem dat a časem konce. Zacházejte s ním jako s každým jiným vstupem, protože slovo dočasný nic nezavře.

Dočasný je doba trvání, ne kontrola

Slovo dočasný popisuje, jak dlouho má něco existovat, ne co to omezuje, dokud to existuje. Veřejné jméno hostitele bez platnosti je trvalé v okamžiku, kdy člověk, který ho vytvořil, změní tým.

Než se cokoli vystaví, měl by vlastník služby a vlastník bezpečnosti schválit tři věci: publikum, data a dobu trvání.

Existující prostředí hostovské VPN nebo recenze je často jednodušší než zveřejnění produkční služby. Už má vlastníka, schvalovací cestu a proces odstranění. Vytvoření nové výjimky na jedno odpoledne je způsob, jak se malá žádost stane trvalým aktivem. Začněte otázkou, zda recenze může proběhnout uvnitř něčeho, co už existuje.

Zveřejněte jednu operaci, nikdy podsíť

Vyberte nejmenší vstup, který recenzi ještě podporuje. Dejte přednost kopii v testovacím prostředí s vhodnými daty před produkcí a ověřené frontě, která dosáhne na jeden soukromý zdroj, před jakoukoli trasou podsítě.

Přeposílač s dosahem do VPN nemusí zveřejňovat celou soukromou podsíť a rozhodně by neměl zveřejňovat administrační rozhraní brány.

Pojmenujte účty, kterým je průchod povolen, a akce, které smějí provádět. Omezení podle zdrojové IP skutečně zužuje, kdo se může připojit. Neidentifikuje ale člověka, protože veřejné adresy jsou sdílené a mění se.

Zachovejte vlastní autorizaci aplikace nebo výslovně důvěryhodný vstup, který zná identitu. Chraňte stahování, API a administrativní cesty, ne jen vstupní stránku. Fronta, která ukončuje TLS, se stává důvěryhodným koncovým bodem a soukromá trasa za ní neudělá z veřejného návštěvníka člena VPN. Testujte vyloučené cesty stejně pečlivě jako vstupní stránku.

Identita na frontě, ne ve zdrojové adrese

Pravidla zdrojové IP jsou užitečná pro zúžení expozice a nepoužitelná pro prokázání, kdo je recenzent. Domácí připojení se mění, mobilní sítě sdílejí adresy a kolega může být za stejnou NAT.

Proxy, které zná identitu, nebo vlastní přihlášení aplikace vám dává rozhodnutí pro každého člověka. Právě to umožňuje pozdější odvolání, protože můžete odebrat jednu identitu, aniž byste měnili síť.

Nechte ověřování certifikátů zapnuté a zablokujte přímý přístup ke zdroji. Pokud je zdroj stále dostupný z internetu, je fronta jen dekorace.

Odvolejte oprávnění i trasu

Zaznamenejte vlastníka a přesnou dobu platnosti v provozním systému, který už přístup sleduje. Použijte časově omezený přístup nebo plánované odstranění tam, kde to platforma podporuje, a přidejte kontrolu pro případ, že automatizace selže.

V dohodnutém konci vyřaďte dočasnou frontu, povolení trasy a oprávnění recenzenta prostřednictvím jejich vlastníků. Stávající relace a dlouhodobá připojení potřebují vlastní ošetření, protože odebraná trasa je neukončí.

Krátké DNS TTL není vypršení přístupu. Mění, jak dlouho si překladač odpověď ponechá. Nevypne účet, nepřeruší živou relaci ani nezavře port, který stále naslouchá.

Uložené kopie jsou součástí stejného problému. Stažení cesty ke zdroji nevrátí soubor, který si někdo už uložil, a sdílená mezipaměť může vydávat kopie i poté, co přeposílač zmizel. Zvolte politiku odpovědí a ukládání dřív, než recenze začne.

Ověřte, že stará cesta skutečně zmizela

Přijetí je nový požadavek, který selže, plus běžný pracovní postup VPN stále fungující. Testujte obojí, protože odstranění, které rozbije obvyklou cestu, není čisté odstranění.

Z vnějšku sítě potvrďte, že jméno i zdroj jsou zavřené:

dig +short review.example
curl -sSI --max-time 5 https://review.example/
ss -ltnp | grep ':443'

Veďte úzký auditní záznam o tom, co bylo schváleno, kdo se k tomu mohl dostat a kdy to bylo odstraněno. Tento záznam je rozdíl mezi kontrolovanou výjimkou a nevysvětleným jménem hostitele. Dočasný náhled uspěje, když poskytne požadovanou recenzi a pak ji přestane poskytovat. Zmizení URL z chatové zprávy není tento test.