Sulje väliaikainen esikatselu ennen kuin siitä tulee pysyvä

Katselmoija, joka ei pääse VPN:ään, tarvitsee linkin yhdeksi iltapäiväksi, ja illaksi tuotantopalvelulla on julkinen isäntänimi, jonka hyväksymistä kukaan ei muista. Pyyntö oli pieni; muutos ei ollut. Väliaikainen esikatselu on uusi pääsypolku, jolla on yleisö, datan laajuus ja päättymisaika. Kohtele sitä kuten mitä tahansa muuta sisäänkäyntiä, sillä sana väliaikainen ei sulje mitään.

Väliaikainen on kesto, ei valvonta

Sana väliaikainen kuvaa, kuinka kauan jonkin pitäisi olla olemassa, ei sitä mikä rajoittaa sitä sen olemassaolon aikana. Julkinen isäntänimi ilman vanhenemista on pysyvä sinä hetkenä, kun sen luonut henkilö vaihtaa tiimiä.

Ennen kuin mitään altistetaan, palvelun omistajan ja turvallisuuden omistajan pitäisi hyväksyä kolme asiaa: yleisö, data ja kesto.

Olemassa oleva vieras-VPN- tai katselmointiympäristö on usein yksinkertaisempi kuin tuotantopalvelun julkaiseminen. Sillä on jo omistaja, hyväksymispolku ja poistoprosessi. Uuden poikkeuksen rakentaminen yhdeksi iltapäiväksi on tapa, jolla pienestä pyynnöstä tulee pysyvä omaisuuserä. Aloita kysymällä, voiko katselmointi tapahtua jonkin jo olemassa olevan sisällä.

Julkaise yksi toiminto, ei koskaan aliverkkoa

Valitse pienin sisäänkäynti, joka vielä tukee katselmointia. Suosi sopivalla datalla varustettua testikopiota tuotannon sijaan ja todennettua etuosaa, joka tavoittaa yhden yksityisen lähteen minkä tahansa aliverkkoreitin sijaan.

VPN-tavoitettavuudella varustetun välittäjän ei tarvitse julkaista koko yksityistä aliverkkoa, eikä sen todellakaan pitäisi julkaista yhdyskäytävän hallintaliittymää.

Nimeä tilit, joille läpikulku on sallittu, ja toiminnot, joita ne saavat tehdä. Lähde-IP:n perusteella rajaaminen kyllä kaventaa sitä, kuka voi yhdistää. Se ei kuitenkaan tunnista henkilöä, koska julkiset osoitteet ovat jaettuja ja ne muuttuvat.

Säilytä sovelluksen oma valtuutus tai nimenomaisesti luotettu identiteetin huomioiva sisäänkäynti. Suojaa lataukset, API:t ja hallintapolut, älä vain aloitussivua. TLS:n päättävä etuosa muuttuu luotetuksi päätepisteeksi, eikä sen takana oleva yksityinen reitti tee julkisesta vierailijasta VPN:n jäsentä. Testaa pois jätetyt polut yhtä huolellisesti kuin aloitussivu.

Identiteetti etuosassa, ei lähdeosoitteessa

Lähde-IP:n säännöt ovat hyödyllisiä altistuksen kaventamiseen ja hyödyttömiä sen todistamiseen, kuka katselmoija on. Kotiyhteydet muuttuvat, mobiiliverkot jakavat osoitteita ja kollega voi olla saman NAT:n takana.

Identiteetin huomioiva välityspalvelin tai sovelluksen oma kirjautuminen antaa päätöksen henkilöä kohden. Juuri se tekee peruuttamisen myöhemmin mahdolliseksi, koska voit poistaa yhden identiteetin muuttamatta verkkoa.

Pidä varmenteen validointi päällä ja estä suora pääsy lähteeseen. Jos lähde on yhä tavoitettavissa internetistä, etuosa on vain koristetta.

Peruuta oikeus ja reitti

Kirjaa omistaja ja tarkka vanheneminen käyttöjärjestelmään, joka jo seuraa pääsyä. Käytä aikarajoitettua pääsyä tai ajastettua poistoa siellä, missä alusta tukee sitä, ja lisää tarkistus siltä varalta, että automaatio epäonnistuu.

Sovitussa lopussa poista väliaikainen etuosa, reittilupa ja katselmoijan oikeus omistajiensa kautta. Olemassa olevat istunnot ja pitkäikäiset yhteydet tarvitsevat oman käsittelynsä, koska poistettu reitti ei lopeta niitä.

Lyhyt DNS TTL ei ole pääsyn vanheneminen. Se muuttaa sitä, kuinka kauan resolveri pitää vastauksen. Se ei poista tiliä käytöstä, katkaise elävää istuntoa eikä sulje porttia, joka yhä kuuntelee.

Välimuistiin tallennetut kopiot ovat osa samaa ongelmaa. Lähteen polun alas ottaminen ei hae takaisin tiedostoa, jonka joku on jo tallentanut, ja jaettu välimuisti voi tarjoilla kopioita sen jälkeen, kun välittäjä on poistunut. Valitse vastaus- ja tallennuskäytäntö ennen katselmoinnin alkua.

Tarkista, että vanha polku on todella poissa

Hyväksyntä on uusi pyyntö, joka epäonnistuu, sekä VPN:n tavallinen työnkulku joka toimii edelleen. Testaa molemmat, sillä poisto, joka rikkoo tavallisen polun, ei ole puhdas poisto.

Vahvista verkon ulkopuolelta, että nimi ja lähde ovat molemmat suljettuja:

dig +short review.example
curl -sSI --max-time 5 https://review.example/
ss -ltnp | grep ':443'

Pidä kapeaa auditointimerkintää siitä, mitä hyväksyttiin, kuka saattoi päästä siihen ja milloin se poistettiin. Se merkintä on ero valvotun poikkeuksen ja selittämättömän isäntänimen välillä. Väliaikainen esikatselu onnistuu, kun se tarjoaa pyydetyn katselmoinnin ja lakkaa sitten tarjoamasta sitä. URL:n katoaminen chatviestistä ei ole se testi.