VPC kaugjuurdepääsu vastuvõtmine nõuab keeldumisteste

Kaugjuurdepääsu vastuvõtmine on oodatavate tulemuste tabel, mitte toimiva lehe ekraanipilt. Iga grupi jaoks kirjutage, mis peaks õnnestuma ja mis peaks ebaõnnestuma, ning käivitage mõlemad kontrollitud ajaaknas spetsiaalsete testiidentiteetidega. Keeldumised on see osa, mis tõestab piiri; edukas sisselogimine tõestab ainult seda, et tunnel on olemas. Kõik see toimib juba valitud VPN-tootega.

Kasutage testide jaoks eraldi kontosid ja märgistage need nii, et keegi ei aja testiidentiteeti segi tõelise erandiga.

Kirjutage piir oodatavate tulemustena

Alustage rollidest, mitte komponentidest: kes vajab millist teenust, kust ja millise identiteediga. Võtke näitlik VPC: üks grupp vajab HTTPS-i kaudu testkeskkonda, teine vajab tootmisandmebaasi ja kolmas, väiksem grupp haldab lüüsi ennast. Iga rida saab oodatava loa ja oodatava keeldumise, sealhulgas naabriteenuse ja naaberkonto, mis ei peaks töötama. See tabel on vastuvõtukriteerium ja inimesed, kes teste ei käivita, saavad seda üle vaadata.

Testige andmebaasi sisselogimist eraldi võrguteest. Ligipääsetav TCP-port ei tohiks muuta heakskiitmata andmebaasikonto edukaks ja VPN-i liikmelisus ei tohiks luua pilve IAM-rolli ega anda administraatori API-juurdepääsu. Need on kolm sõltumatut juhtelementi ja need ebaõnnestuvad sõltumatult.

Marsruut ei ole autoriseerimine

Marsruut teeb tee võimalikuks; see ei anna luba. Marsruudi kinni hoidmine on nõrk asendus sihtkohas jõustatavale piirangule, sest klient saab alati lisada oma marsruudi. Turvagrupp, andmebaasi luba ja rakenduse enda autoriseerimine jäävad juhtelementideks, mis otsustavad. Kui test ootamatult õnnestub, vaadake esmalt sihtkoha poliitikat, mitte marsruutimistabelit, mille te kliendile kavatsesite anda.

Seetõttu sihivadki keeldumistestid serveripoolt: neid tulemusi ei saa kliendi muutmisega muuta.

Millist allikat juhtelement tegelikult näeb?

Allikaaadress, mida juhtelement hindab, sõltub lüüsi arhitektuurist. EC2-s majutatud lüüs võib edastada marsruuditud basseini, tõlkida selle oma aadressiks või pärast NAT-i esitada teistsuguse aadressi; hallatav Client VPN seostub alamvõrguga ja järgib oma mudelit. Turvagrupid ja võrgu ACL-id näevad kõike, mis pärast seda töötlemist saabub. Reegli kontrollimine vale allikaeelduse vastu on tavaline viis ehitada piir, mis näeb õige välja ja laseb sisse vale liikluse.

Seostage iga tulemus väikseima kasuliku sündmusega: identiteet ja sessioon, ressurss, toiming, aeg ja otsus. CloudTrail API-kutse, VPC voo kirje ja VPN sessiooni logi vastavad erinevatele küsimustele ning ükski neist üksi ei ole rakenduse audit.

Võtke identiteet tagasi ja testige uuesti

Lisage tagasivõtmine samasse tabelisse. Eemaldage testiidentiteet, kinnitage, et uus sessioon lükatakse tagasi, ja seejärel kinnitage eraldi, kuidas koheldakse olemasolevaid sessioone, sest need on erinevad käitumised erinevate omanikega. Kontrollige, mis juhtub pärast lüüsi taaskäivitamist või asendamist, et käsitsi lisatud erand ei kaoks vaikselt ega tuleks laiemalt tagasi. Piir, mis kestab ainult järgmise juurutamiseni, ei ole piir.

Miski sellest ei asenda paikamist, taastamist ega volituste elutsükli tööd. See muudab kitsama lubaduse mõõdetavaks: õiged inimesed jõuavad õigete teenusteni, samal ajal kui lähedased marsruudid, kontod ja halduspinnad jäävad loast välja.

Hoidke tabelit juurutamise juures ja käivitage see uuesti, kui lüüs muutub. Testid on odavad; nende taga olevad eeldused ei ole.