Služba MFA spadla: rozhodněte o přístupu k VPN dřív, než selže

Přístup k VPN se zastaví a upozornění hlásí, že služba druhého faktoru není dostupná. Zda se ještě někdo může připojit, je otázka politiky, která měla být zodpovězena před výpadkem, ne během něj. Nedostupný ověřovatel není důkaz, že faktor prošel, a odmítnutá výzva není tatáž událost jako nedostupná. Postup níže mění tento rozdíl v psané pravidlo, které můžete otestovat.

Krok 1: pojmenujte tři výsledky odděleně

Zapište tři stavy a odmítněte je slučovat: primární autentizace selhala, výzva druhého faktoru byla odmítnuta nebo vypršela a služba MFA nikdy neodpověděla. Každý má jiného vlastníka, jiný řádek v logu a jinou správnou reakci. Jedna obecná zpráva o vypršení času skrývá, ve kterém z nich jste, a právě tato nejednoznačnost mění výpadek v hádku. Pojmenujte stavy v postupu dřív, než je budete potřebovat.

Odmítnutí znamená, že ověřovatel odpověděl a řekl ne, což je výsledek politiky, nikoli problém dostupnosti. Vypršelý pokus znamená, že výzva existovala a nikdo ji včas nedokončil. Nedostupná služba znamená, že otázka nebyla vůbec zodpovězena. Výpadkem je jen třetí případ.

Krok 2: přečtěte si režim selhání, který proxy skutečně používá

Najděte nastavení, které řídí chování, když se službu nelze kontaktovat, a přečtěte je z běžící konfigurace, ne ze šablony. V RADIUS proxy Duo jsou dokumentované hodnoty failmode safe a secure, přičemž safe povoluje pokus jen tehdy, když primární autentizace uspěje, a secure pokus v této podmínce odmítá.

radtest alice '' 127.0.0.1 0 testing123
journalctl -u duo-authproxy -n 50 --no-pager

Název safe popisuje volbu dostupnosti, ne záruku, že každá přijatá relace měla čerstvý druhý faktor. Tato věta patří do registru rizik, protože je to přesně ta výměna, kterou nastavení dělá. Nezobecňujte hodnotu na jiného poskytovatele, jinou integraci ani jiný režim proxy; přečtěte si dokumentaci daného produktu k jeho vlastnímu ekvivalentu. Konfigurace zkopírovaná z příkladu dodavatele bez tohoto porozumění je překvapení čekající na další výpadek.

Zastavte se, pokud nikdo neumí říct, který režim je aktivní. Zbytek postupu závisí na této odpovědi.

Krok 3: sladějte opakované pokusy s tokem

Sladěte časový limit a chování při opakování brány s tokem autentizace, který řídí. Nekoordinované opakované pokusy vytvářejí více výzev, mate párování pokusů a nechávají log bez schopnosti říct, který výsledek patří kterému přihlášení. Velmi dlouhý časový limit není návrh dostupnosti; je to delší čekání na stejnou odpověď.

ss -lunp 'sport = :1812'
tail -n 50 /var/log/duo/authproxy.log

Vlastní časový limit požadavku proxy je samostatná hranice: požadavek na autentizaci, který je vydán a nikdy nedokončen, je odmítnut, a toto odmítnutí není výpadek, ze kterého se ustupuje. Berte odmítnutí, nedokončenou výzvu a nedostupnou službu jako tři různé vstupy do své rozhodovací tabulky. Pak tabulku zexplicitněte: který stav pustí, který stav podrží a který stav eskaluje na člověka.

Pokud opakují pokus obě komponenty, opravte nejprve vlastnictví opakování. Duplicitní výzvy jsou příznakem dvou vlastníků, ne pomalé služby.

Krok 4: spravujte nouzový přístup odděleně

Je-li nouzový přístup potřeba, dejte mu vlastní rozsah, identitu, oprávnění a auditní stopu. Tiché vypnutí MFA pro všechny uživatele není nouzový postup; je to trvalé oslabení s připojeným incidentem. Vlastník bezpečnosti předem schvaluje pravidlo přístupu, viditelnost a cestu eskalace.

grep -R failmode /etc/duo /etc/radiusclient 2>/dev/null
systemctl status duo-authproxy

Otestujte celou matici v neprodukčním prostředí: selhání primární autentizace, úmyslné odmítnutí, vypršení výzvy a nedostupnost služby. U každého zaznamenejte výsledek přístupu a důvod, který se zapsal do logu. Nevytvářejte produkční výpadek, abyste zjistili nastavené chování, a netestujte nouzovou cestu poprvé během incidentu, pro který byla napsána. Postup obnovy, který se nikdy nespustil, je dokument, ne kontrola.

Postup končí, když jsou tři stavy pojmenované, režim selhání je přečten z běžícího systému, opakované pokusy mají jednoho vlastníka a nouzový přístup má své vlastní schválení a revizi. Předvídatelné vynucování plus známá cesta obnovy je výsledek, který stojí za zdokumentování.