Akseptaasjetests foar in firtuele VPN-gateway mei twafaktor-oanmelding
Bewiis de gateway stap foar stap: oanmelding, ynloggen, wegering, yntrekken en werstel, elk mei in bewiisstik en in slagingsbetingst skreaun foar de test.
Leveransiers beskriuwe dit apparaat as firtueel en twafaktor-bekwaam, en gjin fan dy wurden beantwirdet de fragen dy't de oankeap beslisse. Hokker hypervisor-ôfbylding stipe wurdt, hokker klanten har oanmelde kinne, wat de twadde faktor echt bewissiget en wat der bart as de identiteitsleveransier útfalt, is noch iepen. Meitsje dêrfan akseptaasjestappen dy't jo yn in repetysje rinne kinne, en it beslút hinget net mear ôf fan hoe oertsjûgjend it datablêd is. It blêd hjirûnder is in struktuer foar dat bewiis, gjin ranglist fan produkten.
Wat de leveransier oer dizze útrulling befêstigje moat
Begjin mei de útrulling op ien side te setten: de hypervisor of de wolk, de gast-arsjitektuer, de stipe ôfbylding en de ynterfaces dy't it apparaat ferwachtet. Foegje de brûkers ta, mei har bestjoeringssystemen, oft apparaten beheard wurde en hoe't oanmelding en ynloggen bedoeld binne om te wurkjen. Dan de privee tagong: applikaasjes en foarheaksels, DNS-regeling, weromrûtes en oft in iepenbiere ynternetútgong diel fan it oanbod is.
Bedriuw heart op itselde blêd: wa't de kast ûnderhâldt, wêr't fernijingen wei komme, wêr't logboeken hinne geane, hoe't de konfiguraasje beskerme wurdt en hokker wersteldoel it bedriuw eins ôfsprutsen hat. Freegje de leveransier om krekt dy kombinaasje te befêstigjen, net dat de software yn in firtuele masine rint. Hâld eksterne ôfhinklikheden lykas in identiteitsleveransier of in lisinsjetsjinst sichtber, want se binne diel fan 'e útrulling oft se no meilevere wurde of net. In útrullingsside sûnder neamde ôfhinklikheid is meastentiids in útrullingsside mei in ûnbekende ôfhinklikheid.
Bewiis dat de twadde faktor in twadde faktor is
Neam it ferifikaasje-apparaat en de ferifikaasjeflier, en sis hokker identiteit elke stap fêststelt. Twa wachtwurdfregen efterinoar binne gjin twadde faktor, en in wachtwurd plus in ienmalige koade is in oare bewearing as in kryptografysk ferifikaasje-apparaat dat oan 'e tsjinst bûn is. Skriuw de flier op dy't jo keapje, net it label op 'e kast.
Ferset tsjin phishing is in aparte eigenskip, en de NIST-riglieding foar ferifikaasje-apparaten behannelet it krekt sa: in koade dêr't in brûker ta oanlaat wurde kin om troch te jaan foldocht noch altyd oan multifaktor-autentikaasje, mar mist dy ekstra betingst. Freegje de eigenskip eksplisyt as it foar jo fan belang is. Freegje dan in demonstraasje fan it klanttype dat jo brûkers echt rinne, dat oanmelding, in wegere of ferrûne útdaging, werstel nei in ferlern ferifikaasje-apparaat en it yntrekken fan ien brûker omfettet wylst oaren ferbûn bliuwe. Hâld de identiteitsferifikaasje fan 'e gateway yn it berik, want in klant dy't op elke gateway fertrout hat it probleem ferpleatst ynstee fan oplost.
Skriuw de slagingsbetingst foardat jo eat brekke
De tabel hjirûnder is it part fan it blêd dat kontakt mei in leveransier oerlibbet, want elke rige freget in bewiisstik ynstee fan in fertrouwen. Folje de slagingsbetingst foar de repetysje yn, en behannelje in rige sûnder bewiis as in mislearre rige. Fiif stappen dekke wat in gateway dwaan moat.
| Acceptance stage | Evidence to keep | Pass condition |
|---|---|---|
| Enrolment | Enrolment record with the device type and the identity used | A new device enrols once, and nobody else can enrol it afterwards |
| Sign-in with the second factor | Session record naming both factors and the gateway identity that was checked | The session carries the expected identity and the gateway certificate validated |
| Denial of an unapproved destination | Log line from the control that refused the flow, with the policy name | The flow is refused and the refusal is attributable to one control |
| Revocation of one user | Revocation timestamp and the sessions that survived it | The named user is out and unaffected users keep working |
| Restore from configuration backup | Restored version plus a probe of a revoked identity | The revision matches the backup and revoked identities stay revoked |
Oanmelding komt earst, want alles dêrnei hinget dêrfan ôf: in apparaat dat him net oanmelde kin, kin net teste wurde. Ynloggen is in aparte stap fan oanmelding, en wegering is de stap dy't de measte blêden ferjitte, want in gateway dy't elkenien talit hat net bewiisd dat er immen wegert. Yntrekken en werstel drage it measte fan it operasjonele risiko, en beide binne goedkeap te oefenjen op in kopy.
Oefenje op 'e kopy, net op 'e libbene gateway
Rin de fersteurende stappen op in kopy fan it platfoarm, neffens de stipe útrullingsproseduere, en bewarje elk bewiis mei syn datum en konfiguraasjeferzje. In werstartrige wurdt net beantwurde troch in werstart fan 'e console, en in werstelrige net troch de konfiguraasje te eksportearjen. Notearje hokker steat fansels weromkomt en wat opnij ferbine moat, want dat ferskil is wat it bedriuwsteam erft. De repetysje is ek de iennige kâns om in werstel te timen sûnder in steuring te ferklearjen.
Registrearje de steat fan 'e identiteitsleveransier op it momint fan elke test, want in steuringsrige test tsjin in sûne leveransier bewissiget it tsjinstelde fan wat it blêd beweart. Twa resinsinten by deselde repetysje fange ferskillende dingen, en de twadde fynt meastentiids de rige waans bewiis in skermôfdruk fan in dashboerd is. Hâld dat bewiis fêst oan 'e rige dêr't it by heart, net yn in map neamd nei it projekt.
Mjit de wurklêst dy't jo team rinne sil
Kom oerien op in wurklêst dy't op in normale wike liket, en mjit dy dan wêr't jo útrulle wolle: tagelykheid, ferkearsmingsel en it ûnderhâldsfinster dat it team eins hat. In oankundige trochfiertsifer beskriuwt in laboratoariumomstannichheid en seit neat oer jo brûkers. Mjit it werstel tsjin it wersteldoel, net tsjin it plan.
It blêd is klear as elke stap in bewiisstik hat en elk bewiisstik in datum. In apparaat dat immen ûnderhâldt, mei bewiis foar elke rige, is in oare oankeap as de langste list mei oanfette fakjes.