VPC-Fernzugriff abnehmen: Verweigerungstests gehören dazu

Die Abnahme des Fernzugriffs ist eine Tabelle erwarteter Ergebnisse, kein Screenshot einer funktionierenden Seite. Schreiben Sie für jede Gruppe auf, was gelingen und was scheitern soll, und führen Sie beides dann mit dedizierten Testidentitäten in einem kontrollierten Zeitfenster aus. Die Verweigerungen sind der Teil, der die Grenze beweist; ein erfolgreicher Login beweist nur, dass der Tunnel existiert. All das funktioniert mit dem bereits gewählten VPN-Produkt.

Verwenden Sie für die Tests getrennte Konten und kennzeichnen Sie sie so, dass niemand eine Testidentität für eine echte Ausnahme hält.

Die Grenze als erwartete Ergebnisse aufschreiben

Beginnen Sie bei den Rollen und nicht bei den Komponenten: Wer braucht welchen Dienst, von wo und mit welcher Identität. Nehmen Sie eine beispielhafte VPC: Eine Gruppe braucht die Staging-Umgebung über HTTPS, eine andere eine Produktionsdatenbank, und eine dritte, kleinere Gruppe administriert das Gateway selbst. Jede Zeile erhält eine erwartete Erlaubnis und eine erwartete Verweigerung, einschließlich des benachbarten Dienstes und des benachbarten Kontos, die nicht funktionieren dürfen. Diese Tabelle ist das Abnahmekriterium, und Personen, die die Tests nicht ausführen, können sie prüfen.

Testen Sie den Datenbank-Login getrennt vom Netzwerkpfad. Ein erreichbarer TCP-Port darf kein nicht freigegebenes Datenbankkonto erfolgreich machen, und eine VPN-Mitgliedschaft darf keine Cloud-IAM-Rolle erzeugen oder administrativen API-Zugriff gewähren. Das sind drei unabhängige Kontrollen, und sie scheitern unabhängig voneinander.

Eine Route ist keine Autorisierung

Eine Route macht einen Pfad möglich; sie erteilt keine Berechtigung. Das Zurückhalten einer Route ist ein schwacher Ersatz für eine am Ziel durchgesetzte Einschränkung, da ein Client jederzeit eine eigene Route hinzufügen kann. Die Sicherheitsgruppe, die Datenbankfreigabe und die eigene Autorisierung der Anwendung bleiben die entscheidenden Kontrollen. Wenn ein Test unerwartet gelingt, schauen Sie zuerst auf die Richtlinie des Ziels und nicht auf die Routingtabelle, die der Client Ihrer Absicht nach haben sollte.

Deshalb zielen die Verweigerungstests auf die Serverseite: Diese Ergebnisse lassen sich nicht durch Bearbeiten des Clients ändern.

Welche Quelle sieht die Kontrolle tatsächlich?

Die Quelladresse, die eine Kontrolle auswertet, hängt von der Gateway-Architektur ab. Ein auf EC2 gehostetes Gateway kann einen gerouteten Pool weiterleiten, auf seine eigene Adresse übersetzen oder nach NAT eine andere Adresse präsentieren; ein verwaltetes Client VPN ist einem Subnetz zugeordnet und folgt seinem eigenen Modell. Sicherheitsgruppen und Netzwerk-ACLs sehen, was nach dieser Verarbeitung ankommt. Eine Regel gegen die falsche Quellannahme zu prüfen ist ein häufiger Weg, eine Grenze zu bauen, die korrekt aussieht und den falschen Verkehr durchlässt.

Verknüpfen Sie jedes Ergebnis mit dem kleinsten nützlichen Ereignis: Identität und Sitzung, Ressource, Vorgang, Zeit und die Entscheidung. Ein CloudTrail-API-Aufruf, ein VPC-Flow-Datensatz und ein VPN-Sitzungsprotokoll beantworten unterschiedliche Fragen, und keines davon ist für sich genommen ein Anwendungsaudit.

Eine Identität zurückziehen und erneut testen

Nehmen Sie den Rückzug in dieselbe Tabelle auf. Entfernen Sie eine Testidentität, bestätigen Sie, dass eine neue Sitzung abgelehnt wird, und bestätigen Sie dann getrennt, wie bestehende Sitzungen behandelt werden, denn das sind unterschiedliche Verhaltensweisen mit unterschiedlichen Zuständigkeiten. Prüfen Sie, was nach einem Neustart oder Austausch des Gateways geschieht, damit eine von Hand hinzugefügte Ausnahme nicht stillschweigend verschwindet oder breiter zurückkehrt. Eine Grenze, die nur bis zum nächsten Deployment hält, ist keine Grenze.

Nichts davon ersetzt Patcharbeit, Wiederherstellung oder Arbeit am Lebenszyklus von Anmeldedaten. Es macht ein engeres Versprechen messbar: Die richtigen Personen erreichen die richtigen Dienste, während benachbarte Routen, Konten und Verwaltungsflächen außerhalb der Freigabe bleiben.

Bewahren Sie die Tabelle beim Deployment auf und führen Sie sie erneut aus, wenn sich das Gateway ändert. Die Tests sind billig; die Annahmen dahinter nicht.