Vastuvõtukontrollid virtuaalsele VPN-lüüsile kahefaktorilise autentimisega
Tõestage lüüs etapp etapi haaval: registreerimine, sisselogimine, keeldumine, tühistamine ja taastamine, igaüks artefakti ja enne katset kirjutatud läbimise tingimusega.
Tarnijad kirjeldavad seda seadet virtuaalse ja kahefaktorilise võimekusega, ja kumbki sõna ei vasta küsimustele, mis ostu otsustavad. Millist hüperviisori kujutist toetatakse, millised kliendid saavad registreeruda, mida teine faktor tegelikult tõestab ja mis juhtub, kui identiteedipakkuja maas on, on endiselt lahtine. Muutke need vastuvõtuetappideks, mida saate proovis läbi mängida, ja otsus lakkab sõltumast sellest, kui veenev andmeleht on. Allpool olev leht on nende tõendite struktuur, mitte toodete pingerida.
Mida tarnija peab selle juurutuse kohta kinnitama
Alustage juurutuse mahutamisega ühele lehele: hüperviisor või pilv, külalisarhitektuur, toetatud kujutis ja liidesed, mida seade ootab. Lisage kasutajad oma operatsioonisüsteemidega, kas seadmeid hallatakse ja kuidas registreerimine ja sisselogimine peaksid toimima. Seejärel privaatne juurdepääs: rakendused ja prefiksid, DNS-korraldus, tagasiteed ja kas avalik internetiväljund on pakkumise osa.
Haldus kuulub samale lehele: kes hoiab seadet, kust tulevad uuendused, kuhu lähevad logid, kuidas konfiguratsiooni kaitstakse ja millise taastamiseesmärgi ettevõte tegelikult kokku leppis. Paluge tarnijal kinnitada täpselt see kombinatsioon, mitte seda, et tarkvara jookseb virtuaalmasinas. Hoidke välised sõltuvused, nagu identiteedipakkuja või litsentsiteenus, nähtavad, sest need on juurutuse osa olenemata sellest, kas need tarnitakse koos sellega. Juurutusleht ilma nimetatud sõltuvuseta on tavaliselt juurutusleht tundmatu sõltuvusega.
Tõestage, et teine faktor on teine faktor
Nimetage autentija ja kontrollivoog ning öelge, millise identiteedi iga samm kehtestab. Kaks järjestikust parooliküsimust ei ole teine faktor, ja parool pluss ühekordne kood on teistsugune väide kui teenusega seotud krüptograafiline autentija. Kirjutage üles voog, mida te ostate, mitte silt karbil.
Vastupidavus õngitsemisele on eraldi omadus ja NISTi autentijate juhend käsitleb seda just nii: kood, mille kasutaja saab petta selle edastama, täidab endiselt mitmefaktorilist autentimist, kuid ebaõnnestub selles lisatingimuses. Nõudke seda omadust selgesõnaliselt, kui see teile oluline on. Seejärel nõudke demonstratsiooni klienditüübilt, mida teie kasutajad tegelikult kasutavad, hõlmates registreerimist, tagasilükatud või aegunud väljakutset, taastamist kaotatud autentija järel ja ühe kasutaja tühistamist, samal ajal kui teised jäävad ühendatuks. Hoidke lüüsi identiteedikontroll ulatuse sees, sest klient, mis usaldab ükskõik millist lüüsi, on probleemi liigutanud, mitte lahendanud.
Kirjutage läbimise tingimus enne, kui midagi lõhute
Allolev tabel on see osa lehest, mis peab tarnijaga kokkupuutele vastu, sest iga rida nõuab kinnituse asemel artefakti. Täitke läbimise tingimus enne proovi ja käsitlege tõenditeta rida ebaõnnestunud reana. Viis etappi katavad selle, mida lüüs peab tegema.
| Acceptance stage | Evidence to keep | Pass condition |
|---|---|---|
| Enrolment | Enrolment record with the device type and the identity used | A new device enrols once, and nobody else can enrol it afterwards |
| Sign-in with the second factor | Session record naming both factors and the gateway identity that was checked | The session carries the expected identity and the gateway certificate validated |
| Denial of an unapproved destination | Log line from the control that refused the flow, with the policy name | The flow is refused and the refusal is attributable to one control |
| Revocation of one user | Revocation timestamp and the sessions that survived it | The named user is out and unaffected users keep working |
| Restore from configuration backup | Restored version plus a probe of a revoked identity | The revision matches the backup and revoked identities stay revoked |
Registreerimine on esimene, sest kõik edasine sõltub sellest: seadet, mida ei saa registreerida, ei saa testida. Sisselogimine on registreerimisest eraldi etapp ja keeldumine on etapp, mille enamik lehti unustab, sest lüüs, mis laseb kõik sisse, ei ole tõestanud, et see kellelegi keeldub. Tühistamine ja taastamine kannavad suuremat osa tööriskist ning mõlemat on odav koopial harjutada.
Harjutage koopial, mitte töötaval lüüsil
Käivitage häirivad etapid platvormi koopial, järgides toetatud juurutusprotseduuri, ja hoidke iga tõend selle kuupäeva ja konfiguratsiooniversiooniga. Taaskäivituse rida ei ole vastatud konsoolist taaskäivitamisega ja taastamise rida ei ole vastatud konfiguratsiooni eksportimisega. Märkige, milline olek taastub iseenesest ja mis peab uuesti ühenduma, sest just selle vahe pärib haldusmeeskond. Proov on ka ainus võimalus mõõta taastamise aega ilma katkestust selgitamata.
Registreerige identiteedipakkuja olek iga katse hetkel, sest tervet pakkujat vastu testitud katkestusrida tõestab vastupidist sellele, mida leht väidab. Kaks ülevaatajat samas proovis püüavad eri asju ja teine leiab tavaliselt rea, mille tõendiks on armatuurlaualt tehtud ekraanipilt. Hoidke see tõend selle rea küljes, kuhu see kuulub, mitte projekti järgi nimetatud kaustas.
Mõõtke koormust, mida teie meeskond hakkab käitama
Leppige kokku tavalisele nädalale sarnanev koormus ja mõõtke seda siis seal, kus kavatsete juurutada: samaaegsus, liikluse segu ja hooldusaken, mis meeskonnal tegelikult on. Reklaamitud läbilaskevõime näitaja kirjeldab laboritingimust ega ütle teie kasutajate kohta midagi. Mõõtke taastamist taastamiseesmärgi, mitte plaani vastu.
Leht on valmis, kui igal etapil on artefakt ja igal artefaktil kuupäev. Seade, mida keegi hooldab, tõendiga iga rea kohta, on teistsugune ost kui pikim linnukestega kastide nimekiri.