Prihvaćanje udaljenog pristupa preko VPC-a zahtijeva testove odbijanja

Prihvaćanje udaljenog pristupa tablica je očekivanih ishoda, a ne snimka zaslona radne stranice. Za svaku grupu zapišite što bi trebalo uspjeti i što bi trebalo ne uspjeti, pa oboje pokrenite na namjenskim testnim identitetima u kontroliranom prozoru. Odbijanja su dio koji dokazuje granicu; uspješna prijava dokazuje samo da tunel postoji. Sve to funkcionira s već odabranim VPN proizvodom.

Koristite odvojene račune za testove i označite ih tako da nitko ne zamijeni testni identitet sa stvarnom iznimkom.

Zapišite granicu kao očekivane rezultate

Pođite od uloga, a ne od komponenti: kome treba koja usluga, odakle i s kojim identitetom. Uzmite ilustrativni VPC: jednoj grupi treba testno okruženje preko HTTPS-a, drugoj produkcijska baza podataka, a treća i manja grupa administrira sam pristupnik. Svaki redak dobiva očekivano dopuštenje i očekivano odbijanje, uključujući susjednu uslugu i susjedni račun koji ne bi trebali raditi. Ta je tablica kriterij prihvaćanja i ljudi koji ne izvode testove mogu je pregledati.

Testirajte prijavu u bazu podataka odvojeno od mrežne putanje. Dostupan TCP port ne bi trebao učiniti uspješnim neodobreni račun baze podataka, a članstvo u VPN-u ne bi trebalo stvoriti oblak IAM ulogu ili dodijeliti administrativni pristup API-ju. To su tri neovisne kontrole i one padaju neovisno.

Ruta nije autorizacija

Ruta čini putanju mogućom; ona ne daje dopuštenje. Uskraćivanje rute slaba je zamjena za ograničenje koje se provodi na odredištu, jer klijent uvijek može dodati vlastitu rutu. Sigurnosna grupa, odobrenje baze podataka i vlastita autorizacija aplikacije ostaju kontrole koje odlučuju. Kada test neočekivano uspije, prvo pogledajte politiku odredišta, a ne tablicu usmjeravanja koju ste namjeravali dati klijentu.

Zato testovi odbijanja ciljaju na serversku stranu: ti se rezultati ne mogu promijeniti uređivanjem klijenta.

Koji izvor kontrola zapravo vidi?

Adresa izvora koju kontrola procjenjuje ovisi o arhitekturi pristupnika. Pristupnik hostan na EC2 može prosljeđivati usmjereni bazen, prevesti ga u vlastitu adresu ili nakon NAT-a prikazati drugu adresu; upravljani Client VPN povezuje se s podmrežom i slijedi vlastiti model. Sigurnosne grupe i mrežni ACL-ovi vide sve što stigne nakon te obrade. Provjera pravila prema pogrešnoj pretpostavci o izvoru čest je način da se izgradi granica koja izgleda ispravno i propušta pogrešan promet.

Povežite svaki rezultat s najmanjim korisnim događajem: identitet i sesija, resurs, operacija, vrijeme i odluka. Poziv API-ja u CloudTrailu, zapis toka u VPC-u i dnevnik VPN sesije odgovaraju na različita pitanja i nijedan sam nije revizija aplikacije.

Povucite identitet i ponovno ga testirajte

Uključite povlačenje u istu tablicu. Uklonite testni identitet, potvrdite da je nova sesija odbijena, pa odvojeno potvrdite kako se tretiraju postojeće sesije, jer su to različita ponašanja s različitim vlasnicima. Provjerite što se događa nakon ponovnog pokretanja ili zamjene pristupnika, da ručno dodana iznimka ne nestane tiho ili se ne vrati šira. Granica koja traje samo do sljedećeg postavljanja nije granica.

Ništa od ovoga ne zamjenjuje rad na zakrpama, oporavku ili životnom ciklusu vjerodajnica. Čini mjerljivim uže obećanje: pravi ljudi dolaze do pravih usluga, dok obližnje rute, računi i upravljačke površine ostaju izvan odobrenja.

Držite tablicu uz postavljanje i ponovno je pokrenite kada se pristupnik promijeni. Testovi su jeftini; pretpostavke iza njih nisu.