MFA-teenus maas: otsusta VPN-i pääs enne riket

VPN-i pääs peatub ja teade ütleb, et teise faktori teenus on kättesaamatu. Kas keegi veel ühenduda saab, on poliitikaküsimus, millele oleks tulnud vastata enne katkestust, mitte selle ajal. Kättesaamatu kontrollija ei ole tõend, et faktor läbis, ja tagasilükatud väljakutse ei ole sama sündmus kui kättesaamatu oma. Allolev juhend muudab selle vahe kirjalikuks reegliks, mida saad testida.

Samm 1: nimeta kolm tulemust eraldi

Kirjuta üles kolm olekut ja keeldu neid kokku sulatamast: esmane autentimine ebaõnnestus, teise faktori väljakutse lükati tagasi või aegus, ja MFA-teenus ei vastanud kunagi. Igal on erinev omanik, erinev logirida ja erinev õige vastus. Üks üldine aegumisteade varjab, millises neist sa oled, ja just see ebaselgus muudab katkestuse vaidluseks. Nimeta olekud juhendis enne, kui neid vaja läheb.

Tagasilükkamine tähendab, et kontrollija vastas ja ütles ei, mis on poliitika tulemus, mitte kättesaadavuse probleem. Aegunud katse tähendab, et väljakutse oli olemas ja keegi ei lõpetanud seda õigel ajal. Kättesaamatu teenus tähendab, et küsimusele ei vastatud üldse. Ainult kolmas on katkestus.

Samm 2: loe rikkerežiim, mida puhverserver tegelikult kasutab

Leia säte, mis juhib käitumist, kui teenusega ei saa ühendust, ja loe see jooksvast konfiguratsioonist, mitte mallist. Duo RADIUS-puhverserveris on dokumenteeritud failmode väärtused safe ja secure, kus safe lubab katset ainult siis, kui esmane autentimine õnnestub, ja secure lükkab katse selles tingimuses tagasi.

radtest alice '' 127.0.0.1 0 testing123
journalctl -u duo-authproxy -n 50 --no-pager

Nimi safe kirjeldab kättesaadavuse valikut, mitte garantiid, et igal lubatud sessioonil oli värske teine faktor. See lause kuulub riskiregistrisse, sest see on täpselt see vahetus, mille säte teeb. Ära üldista väärtust teisele teenusepakkujale, teisele integratsioonile ega teisele puhverserveri režiimile; loe selle toote dokumentatsiooni selle enda ekvivalendi kohta. Ilma selle mõistmiseta tarnija näitest kopeeritud konfiguratsioon on üllatus, mis ootab järgmist katkestust.

Peatu, kui keegi ei oska öelda, milline režiim on aktiivne. Ülejäänud juhend sõltub sellest vastusest.

Samm 3: vii korduskatsed vooga kooskõlla

Joonda lüüsi aegumine ja korduskatse käitumine autentimisvooga, mida see juhib. Koordineerimata korduskatsed loovad mitu viipa, ajavad katsete sobitamise segadusse ja jätavad logi ilma võimaluseta öelda, milline tulemus kuulub millisele sisselogimisele. Väga pikk aegumine ei ole kättesaadavuse disain; see on pikem ootamine sama vastuse järele.

ss -lunp 'sport = :1812'
tail -n 50 /var/log/duo/authproxy.log

Puhverserveri enda päringu aegumine on eraldi piir: autentimispäring, mis väljastatakse ja jääb kunagi lõpetamata, lükatakse tagasi, ja see tagasilükkamine ei ole katkestus, millest tagasi astuda. Käsitle tagasilükkamist, lõpetamata väljakutset ja kättesaamatut teenust kolme erineva sisendina oma otsustustabelis. Seejärel tee tabel selgesõnaliseks: milline olek lubab, milline olek hoiab ja milline olek eskaleerub inimesele.

Kui kaks komponenti mõlemad kordavad, paranda esmalt korduskatsete omandus. Dubleeritud viibad on kahe omaniku sümptom, mitte aeglase teenuse oma.

Samm 4: halda hädaabipääsu eraldi

Kui hädaabipääs on vajalik, anna sellele oma ulatus, identiteet, volitus ja auditeerimisjälg. MFA vaikne väljalülitamine kõigile kasutajatele ei ole hädaabiprotseduur; see on püsiv nõrgestamine, millele on juhtum külge pandud. Turvaomanik kinnitab pääsureegli, nähtavuse ja eskaleerimistee ette.

grep -R failmode /etc/duo /etc/radiusclient 2>/dev/null
systemctl status duo-authproxy

Testi kogu maatriksit mitteproduktiivses keskkonnas: esmane rike, tahtlik tagasilükkamine, väljakutse aegumine ja teenuse kättesaamatus. Igaühe puhul registreeri pääsu tulemus ja logisse kirjutatud põhjus. Ära tekita tootmiskatkestust, et avastada seadistatud käitumist, ja ära testi hädaabiteed esimest korda selle juhtumi ajal, mille jaoks see kirjutati. Taastamisprotseduur, mida pole kunagi käitatud, on dokument, mitte kontroll.

Juhend lõpeb, kui kolm olekut on nimetatud, rikkerežiim on jooksvast süsteemist loetud, korduskatsetel on üks omanik ja hädaabipääsul on oma kinnitus ja ülevaatus. Prognoositav jõustamine pluss teadaolev taastamistee on tulemus, mida tasub dokumenteerida.