Kas teil on veel saidi VPN-i vaja, kui rakendus kasutab mTLS-i ja SSO-d?
Käige läbi kanalid, mida teie rakenduse sisselogimine kunagi ei kata, ja otsustage seejärel, kas privaatvõrgu juurdepääs on üleliigne või ikka veel ainus tee hostini.
Logite sisse mTLS-iga, armatuurlaud laeb ja väide, et saidi VPN on nüüd üleliigne, kõlab mõistlikult umbes nii kaua, kuni kell kaks öösel on vaja andmebaasi taastada. Rakenduse TLS-piir kirjeldab ühte kanalit. Host, andmebaas, varukoopia sihtkoht ja pilvekonto kannavad igaüks oma sisenemisteed, oma identiteeti ja oma kinnitajat ning ühtegi neist ei harjutata eduka sisselogimisega.
Kõndige sisselogimiskuvalt väljapoole
Logige sisse nagu tavaline kasutaja ja kirjutage üles iga hüpe, mida päring puudutab: brauser, serv, rakenduse kuulaja, sessioonihoidla, taustaprogrammi API. Igal hüppel on omanik ja autentimisotsus. Nüüd korrake käiku inimese jaoks, kes hosti paikab, ja töö jaoks, mis kirjutab öise varukoopia. Need käigud lahknevad tavaliselt juba esimesel hüppel.
See lahknevus on küsimus, millele tasub vastata. Saidi VPN on üleliigne ainult siis, kui selle teise käigu igal kanalil on omaette seisev sisenemis- ja autoriseerimispoliitika.
Viis kanalit, mida rakenduse sisselogimine kunagi ei kata
Allolev tabel on inventuuri mall, mitte juurutamise kontrollnimekiri. Täitke teine veerg sellega, mida teie enda keskkond täna tegelikult rakendab.
| Channel | Access decision to identify |
|---|---|
| Application API | Accepted TLS peer, application identity, permitted operations |
| Operating-system administration | Approved entry path, administrative identity, host permissions |
| Database maintenance | Database identity, protected connection, authorized maintenance role |
| Backup and restore | Service identity, allowed source, access to stored copies |
| Cloud control plane | Account and role permissions governing infrastructure changes |
Identiteedipakkuja jagamine ei ühenda neid autoriseeringuid. Kasutaja, kes tohib API-päringu esitada, ei ole sellega volitatud asendama VM-i ketast ega taastama andmebaasi rakenduse mandaatidega. NIST hoiab nullusalduse arhitektuuri kokkuvõttes ressursi autentimise ja autoriseerimise võrgu asukohast lahus just sel põhjusel.
Tugitehnik, kes oskab tiketti lugeda, ei ole sellega volitatud avama konsooli selle taga oleval hostil.
Tee on tõeline ainult siis, kui alternatiiv jääb suletuks
Juurdepääsu piiramine privaatsete administratiivsete kuulajatega on saidi VPN-i õiguspärane asendus, eeldusel et piirangut rakendatakse, mitte ainult ei joonistata. Tavaline ebaõnnestumine on alternatiivne kuulaja, mida keegi ei mäletanud: teenus, mis on endiselt seotud kõigi liidestega, töövõtjale avatud turbegrupi reegel, internetist kättesaadav haldusport.
Kontrollige kuulajaid, mitte diagramme. Hostis loetlege ss -ltnp abil, mis on tegelikult seotud, ja kinnitage, et administratiivsed pordid asuvad privaatsel aadressil. Pilvekonsoolis lugege töökoormuse alavõrgu sissetulevaid reegleid ja otsige 0.0.0.0/0 kõigel administratiivsel. Seejärel proovige ühendust väljastpoolt privaatset teed, sest just see katse vastab küsimusele.
Üksainus kogu maailmale avatud reegel SSH-l tühistab iga argumendi, mille tunnelidisain esitas.
Kirjutage kaart enne, kui võrdlete disaine
Inventuuri iga rea kohta märkige, kes kinnitab identiteete, kes uuendab juurdepääsureegleid, kes eemaldab mandaadid, kui keegi lahkub, ja kes tegeleb taastamisega, kui tee ise katkeb. Neli nime rea kohta on piisav, et paljastada read, kus vastuseks on jagatud konto ja kolme aasta tagune viki-leht.
Seejärel valideerige üks luba ja üks keeld kanali kohta. Luba tõestab, et kavandatud identiteet jõuab ressursini kavandatud teed mööda. Keeld tõestab, et sarnane identiteet ei jõua, ja just selle katse jätavad inimesed vahele, mistõttu alternatiivsed kuulajad elavad auditid üle. Võrrelge kavandatud disaini nende tulemustega, mitte rakenduse TLS-konfiguratsiooniga, mis ei harjutanud kunagi ühtegi neist.
Kus saidi VPN veel oma koha välja teenib
Tunnel või kitsas värav on õige vastus siis, kui ressursil pole oma autentimist päringu kohta: andmebaasi hooldusportid, varukoopiate sihtmärgid, hüperviisori konsoolid, ribaväline haldus. Need kuulajad usaldavad võrku, seega peab võrk olema see, mis autendib kutsuja.
See ei ole ainus vastus. Värav, mis lõpetab autoriseerimise ressursi kaupa, võib olla kitsam kui kogu alavõrku hõlmav tunnel ja jätab parema auditijälje kui jagatud hüppeserver.
Töö järjekord: lõpetage inventuur, sulgege alternatiivid, valideerige üks keeld rea kohta ja alles siis loobuge tunnelist. Kui rida ei suuda keeldu tekitada, hoidke privaatset teed seni, kuni suudab.