Χρειάζεστε ακόμη VPN τοποθεσίας όταν η εφαρμογή χρησιμοποιεί mTLS και SSO;
Περπατήστε τα κανάλια που η σύνδεση στην εφαρμογή δεν καλύπτει ποτέ και αποφασίστε αν η πρόσβαση στο ιδιωτικό δίκτυο είναι περιττή ή παραμένει η μόνη διαδρομή προς τον κεντρικό υπολογιστή.
Συνδέεστε μέσω mTLS, ο πίνακας ελέγχου φορτώνει και ο ισχυρισμός ότι το VPN τοποθεσίας είναι πλέον περιττό ακούγεται λογικός περίπου για όσο χρόνο χρειάζεται ώσπου να χρειαστείτε επαναφορά βάσης δεδομένων στις δύο τα ξημερώματα. Το όριο TLS της εφαρμογής περιγράφει ένα μόνο κανάλι. Ο κεντρικός υπολογιστής, η βάση δεδομένων, ο προορισμός αντιγράφων ασφαλείας και ο λογαριασμός cloud φέρουν καθένα τη δική του διαδρομή εισόδου, τη δική του ταυτότητα και τον δικό του εγκρίνοντα, και κανένα από αυτά δεν δοκιμάζεται από μια επιτυχημένη σύνδεση.
Περπατήστε προς τα έξω από την οθόνη σύνδεσης
Συνδεθείτε όπως ένας συνηθισμένος χρήστης και σημειώστε κάθε άλμα που αγγίζει το αίτημα: πρόγραμμα περιήγησης, άκρη, ακροατής εφαρμογής, αποθήκη συνεδριών, API backend. Κάθε άλμα έχει έναν ιδιοκτήτη και μια απόφαση ταυτοποίησης. Τώρα επαναλάβετε τη διαδρομή για το άτομο που επιδιορθώνει τον κεντρικό υπολογιστή και για την εργασία που γράφει το νυχτερινό αντίγραφο ασφαλείας. Αυτές οι διαδρομές συνήθως αποκλίνουν ήδη στο πρώτο άλμα.
Αυτή η απόκλιση είναι το ερώτημα που αξίζει απάντηση. Ένα VPN τοποθεσίας είναι περιττό μόνο όταν κάθε κανάλι σε εκείνη τη δεύτερη διαδρομή έχει πολιτική εισόδου και εξουσιοδότησης που στέκεται μόνη της.
Πέντε κανάλια που η σύνδεση στην εφαρμογή δεν καλύπτει ποτέ
Ο παρακάτω πίνακας είναι πρότυπο απογραφής, όχι λίστα ελέγχου ανάπτυξης. Συμπληρώστε τη δεύτερη στήλη με ό,τι επιβάλλει πραγματικά σήμερα το δικό σας περιβάλλον.
| Channel | Access decision to identify |
|---|---|
| Application API | Accepted TLS peer, application identity, permitted operations |
| Operating-system administration | Approved entry path, administrative identity, host permissions |
| Database maintenance | Database identity, protected connection, authorized maintenance role |
| Backup and restore | Service identity, allowed source, access to stored copies |
| Cloud control plane | Account and role permissions governing infrastructure changes |
Η κοινή χρήση ενός παρόχου ταυτότητας δεν συνενώνει αυτές τις εξουσιοδοτήσεις. Ένας χρήστης που επιτρέπεται να υποβάλει αίτημα API δεν επιτρέπεται για αυτόν τον λόγο να αντικαταστήσει δίσκο εικονικής μηχανής ούτε να επαναφέρει βάση δεδομένων με τα διαπιστευτήρια της εφαρμογής. Το NIST στην περίληψη αρχιτεκτονικής μηδενικής εμπιστοσύνης κρατά ακριβώς για αυτόν τον λόγο την ταυτοποίηση και την εξουσιοδότηση πόρων χωριστά από τη θέση στο δίκτυο.
Ένας μηχανικός υποστήριξης που μπορεί να διαβάσει ένα δελτίο δεν επιτρέπεται για αυτόν τον λόγο να ανοίξει κονσόλα στον κεντρικό υπολογιστή πίσω από αυτό.
Μια διαδρομή είναι πραγματική μόνο αν η εναλλακτική μένει κλειστή
Ο περιορισμός της προσβασιμότητας σε ιδιωτικούς διαχειριστικούς ακροατές είναι νόμιμη αντικατάσταση ενός VPN τοποθεσίας, αρκεί ο περιορισμός να επιβάλλεται και όχι απλώς να σχεδιάζεται. Η συνήθης αποτυχία είναι ένας εναλλακτικός ακροατής που κανείς δεν θυμήθηκε: μια υπηρεσία ακόμη δεσμευμένη σε όλες τις διεπαφές, ένας κανόνας ομάδας ασφαλείας ανοιχτός για εργολάβο, μια θύρα διαχείρισης προσβάσιμη από το διαδίκτυο.
Ελέγξτε ακροατές και όχι διαγράμματα. Στον κεντρικό υπολογιστή, καταγράψτε τι είναι πραγματικά δεσμευμένο με ss -ltnp και επιβεβαιώστε ότι οι διαχειριστικές θύρες βρίσκονται σε ιδιωτική διεύθυνση. Στην κονσόλα cloud, διαβάστε τους κανόνες εισερχομένων για το υποδίκτυο φόρτου εργασίας και αναζητήστε 0.0.0.0/0 σε οτιδήποτε διαχειριστικό. Στη συνέχεια δοκιμάστε τη σύνδεση από έξω από την ιδιωτική διαδρομή, γιατί αυτή η δοκιμή είναι εκείνη που απαντά στο ερώτημα.
Ένας μόνο κανόνας ανοιχτός σε όλο τον κόσμο στο SSH ακυρώνει κάθε επιχείρημα που έκανε ο σχεδιασμός της σήραγγας.
Γράψτε τον χάρτη πριν συγκρίνετε σχέδια
Για κάθε γραμμή της απογραφής, καταγράψτε ποιος εγκρίνει ταυτότητες, ποιος ενημερώνει τους κανόνες πρόσβασης, ποιος αφαιρεί διαπιστευτήρια όταν κάποιος φεύγει και ποιος χειρίζεται την ανάκτηση όταν σπάει η ίδια η διαδρομή. Τέσσερα ονόματα ανά γραμμή αρκούν για να αποκαλύψουν τις γραμμές όπου η απάντηση είναι κοινός λογαριασμός και μια σελίδα wiki τριών ετών.
Στη συνέχεια επικυρώστε μία άδεια και μία άρνηση ανά κανάλι. Μια άδεια αποδεικνύει ότι η προβλεπόμενη ταυτότητα μπορεί να φτάσει τον πόρο μέσω της προβλεπόμενης διαδρομής. Μια άρνηση αποδεικνύει ότι μια παρόμοια ταυτότητα δεν μπορεί, και αυτή είναι η δοκιμή που οι άνθρωποι παραλείπουν, γι’ αυτό οι εναλλακτικοί ακροατές επιβιώνουν από τους ελέγχους. Συγκρίνετε τον προτεινόμενο σχεδιασμό με αυτά τα αποτελέσματα, όχι με τη διαμόρφωση TLS της εφαρμογής, η οποία δεν δοκίμασε ποτέ κανένα από αυτά.
Πού ένα VPN τοποθεσίας κερδίζει ακόμη τη θέση του
Μια σήραγγα ή μια στενή πύλη είναι η σωστή απάντηση όταν ένας πόρος δεν έχει δική του ταυτοποίηση ανά αίτημα: θύρες συντήρησης βάσεων δεδομένων, προορισμοί αντιγράφων ασφαλείας, κονσόλες hypervisor, διαχείριση εκτός ζώνης. Αυτοί οι ακροατές εμπιστεύονται το δίκτυο, άρα το δίκτυο πρέπει να είναι αυτό που ταυτοποιεί τον καλούντα.
Δεν είναι η μόνη απάντηση. Μια πύλη που τερματίζει την εξουσιοδότηση ανά πόρο μπορεί να είναι στενότερη από μια σήραγγα σε όλο το υποδίκτυο και αφήνει καλύτερο ίχνος ελέγχου από έναν κοινόχρηστο κόμβο μετάβασης.
Σειρά εργασίας: ολοκληρώστε την απογραφή, κλείστε τις εναλλακτικές, επικυρώστε μία άρνηση ανά γραμμή και μόνο τότε αποσύρετε τη σήραγγα. Αν μια γραμμή δεν μπορεί να παράγει άρνηση, κρατήστε την ιδιωτική διαδρομή μέχρι να μπορεί.