סגרו את התצוגה המקדימה הזמנית לפני שהיא הופכת לקבועה

סוקר שלא יכול להתחבר ל-VPN צריך קישור לאחר צהריים אחד, ולערב לשירות הייצור יש שם מארח ציבורי שאיש לא זוכר שאישר אותו. הבקשה הייתה קטנה; השינוי לא. תצוגה מקדימה זמנית היא נתיב גישה חדש עם קהל, היקף נתונים וזמן סיום. התייחסו אליה כמו לכל כניסה אחרת, כי המילה זמני לא סוגרת דבר.

זמני הוא משך, לא בקרה

המילה זמני מתארת כמה זמן משהו אמור להתקיים, לא מה מגביל אותו בזמן שהוא מתקיים. שם מארח ציבורי בלי תפוגה הופך לקבוע ברגע שהאדם שיצר אותו מחליף צוות.

לפני שמשהו נחשף, בעל השירות ובעל האבטחה צריכים לאשר שלושה דברים: הקהל, הנתונים והמשך הזמן.

סביבת אורח או סקירה קיימת היא לעתים קרובות פשוטה יותר מפרסום שירות הייצור. יש לה כבר בעלים, נתיב אישור ותהליך הסרה. בניית חריגה חדשה לאחר צהריים היא הדרך שבה בקשה קטנה הופכת לנכס קבוע. התחילו בשאלה אם הסקירה יכולה להתקיים בתוך משהו שכבר קיים.

פרסמו פעולה אחת, לעולם לא תת-רשת

בחרו את הכניסה הקטנה ביותר שעדיין תומכת בסקירה. העדיפו עותק בדיקה עם נתונים מתאימים על פני ייצור, וממשק מאומת שמגיע למקור פרטי אחד על פני כל נתיב תת-רשת.

ממסר עם נגישות VPN לא חייב לפרסם תת-רשת פרטית שלמה, ובוודאי שלא צריך לפרסם את ממשק הניהול של השער.

ציינו את החשבונות שמורשים לעבור ואת הפעולות שהם רשאים לבצע. הגבלה לפי IP מקור אכן מצמצמת מי יכול להתחבר. היא לא מזהה אדם, כי כתובות ציבוריות משותפות והן משתנות.

שמרו על ההרשאה של היישום עצמו או על כניסה מהימנה במפורש שמודעת לזהות. הגנו על הורדות, על ממשקי API ועל נתיבי ניהול, לא רק על דף הנחיתה. ממשק שמסיים TLS הופך לנקודת קצה מהימנה, ונתיב פרטי מאחוריו לא הופך מבקר ציבורי לחבר ב-VPN. בדקו את הנתיבים שהוחרגו בקפידה כמו דף הנחיתה.

זהות בממשק, לא בכתובת המקור

כללי IP מקור מועילים לצמצום חשיפה וחסרי תועלת להוכחה מי הוא סוקר. חיבורים ביתיים משתנים, רשתות סלולריות חולקות כתובות, ועמית יכול להיות מאחורי אותו NAT.

פרוקסי שמודע לזהות או הכניסה של היישום עצמו נותנים לכם החלטה לכל אדם. זה מה שמאפשר ביטול מאוחר יותר, כי אפשר להסיר זהות אחת בלי לשנות את הרשת.

השאירו את אימות התעודה דלוק וחסמו גישה ישירה למקור. אם המקור עדיין נגיש מהאינטרנט, הממשק הוא רק קישוט.

בטלו את הזכאות ואת הנתיב

רשמו בעלים ותפוגה מדויקת במערכת התפעולית שכבר עוקבת אחרי גישה. השתמשו בגישה מוגבלת בזמן או בהסרה מתוזמנת היכן שהפלטפורמה תומכת בכך, והוסיפו בדיקה למקרה שהאוטומציה תיכשל.

בסוף המוסכם, הוציאו לגמלאות את הממשק הזמני, את הרשאת הנתיב ואת הזכאות של הסוקר דרך הבעלים שלהם. הפעלות קיימות וחיבורים ארוכי טווח זקוקים לטיפול משלהם, כי נתיב שהוסר לא מסיים אותם.

TTL קצר של DNS אינו תפוגת גישה. הוא משנה כמה זמן resolver שומר את התשובה. הוא לא משבית חשבון, לא מנתק הפעלה חיה ולא סוגר יציאה שעדיין מאזינה.

עותקים במטמון הם חלק מאותה בעיה. הורדת נתיב המקור לא מחזירה קובץ שמישהו כבר שמר, ומטמון משותף עלול להגיש עותקים אחרי שהממסר נעלם. בחרו מדיניות תגובה ואחסון לפני שהסקירה מתחילה.

בדקו שהנתיב הישן באמת נעלם

קבלה היא בקשה חדשה שנכשלת, ובנוסף זרימת העבודה הרגילה של VPN עדיין עובדת. בדקו את שניהם, כי הסרה ששוברת את הנתיב הרגיל אינה הסרה נקייה.

מחוץ לרשת, אשרו שגם השם וגם המקור סגורים:

dig +short review.example
curl -sSI --max-time 5 https://review.example/
ss -ltnp | grep ':443'

נהלו רשומת ביקורת צרה של מה שאושר, מי יכול היה להגיע אליו ומתי הוסר. הרשומה הזו היא ההבדל בין חריגה מבוקרת לשם מארח לא מוסבר. תצוגה מקדימה זמנית מצליחה כשהיא מספקת את הסקירה המבוקשת ואז מפסיקה לספק אותה. היעלמות ה-URL מהודעת צ'אט אינה הבדיקה הזו.