Zárja le az ideiglenes előnézetet, mielőtt véglegessé válik

A bírálónak, aki nem tud csatlakozni a VPN-hez, egy délutánra kell egy hivatkozás, és estére a termelési szolgáltatásnak olyan nyilvános hosztneve lesz, amelyre senki nem emlékszik, hogy jóváhagyta. A kérés kicsi volt; a változás nem. Az ideiglenes előnézet új hozzáférési útvonal közönséggel, adatkörrel és befejezési idővel. Kezelje úgy, mint bármely más belépést, mert az ideiglenes szó semmit nem zár le.

Az ideiglenes időtartam, nem ellenőrzés

Az ideiglenes szó azt írja le, meddig kellene valaminek léteznie, nem azt, mi korlátozza, amíg létezik. A lejárat nélküli nyilvános hosztnév abban a pillanatban véglegessé válik, amikor a létrehozója csapatot vált.

Mielőtt bármi kitettségbe kerül, a szolgáltatás tulajdonosának és a biztonsági tulajdonosnak három dolgot kell jóváhagynia: a közönséget, az adatokat és az időtartamot.

Egy meglévő vendég-VPN vagy felülvizsgálati környezet gyakran egyszerűbb, mint a termelési szolgáltatás közzététele. Már van tulajdonosa, jóváhagyási útvonala és eltávolítási folyamata. Egy új kivétel építése egy délutánra az az út, amelyen egy kis kérés tartós eszközzé válik. Kezdje azzal a kérdéssel, hogy a felülvizsgálat megtörténhet-e valami már létezőn belül.

Egy műveletet tegyen közzé, soha egy alhálózatot

Válassza a legkisebb belépést, amely még támogatja a felülvizsgálatot. Részesítse előnyben a megfelelő adatokkal rendelkező tesztpéldányt a termelés helyett, és a hitelesített frontendet, amely egyetlen privát forrást ér el, bármilyen alhálózati útvonal helyett.

A VPN-elérhetőséggel rendelkező továbbítónak nem kell egy teljes privát alhálózatot közzétennie, és semmiképp nem szabad közzétennie az átjáró adminisztrációs felületét.

Nevezze meg az átengedett fiókokat és a műveleteket, amelyeket végrehajthatnak. A forrás IP szerinti korlátozás valóban szűkíti, ki csatlakozhat. Személyt azonban nem azonosít, mert a nyilvános címek megosztottak és változnak.

Tartsa meg az alkalmazás saját engedélyezését vagy egy kifejezetten megbízható, identitástudatos belépést. Védje a letöltéseket, az API-kat és az adminisztratív útvonalakat, ne csak a nyitólapot. A TLS-t lezáró frontend megbízható végponttá válik, és a mögötte lévő privát útvonal nem tesz egy nyilvános látogatót a VPN tagjává. Tesztelje a kizárt útvonalakat olyan gondosan, mint a nyitólapot.

Identitás a frontenden, nem a forráscímben

A forrás IP szabályai hasznosak a kitettség szűkítésére és hasznavehetetlenek annak bizonyítására, ki a bíráló. Az otthoni kapcsolatok változnak, a mobilhálózatok címeket osztanak meg, és egy kolléga ugyanazon NAT mögött lehet.

Az identitástudatos proxy vagy az alkalmazás saját bejelentkezése személyenkénti döntést ad. Ez teszi később lehetővé a visszavonást, mert egy identitást a hálózat megváltoztatása nélkül eltávolíthat.

Tartsa bekapcsolva a tanúsítvány-ellenőrzést, és blokkolja a közvetlen hozzáférést a forráshoz. Ha a forrás még mindig elérhető az internetről, a frontend csak díszlet.

Vigye vissza a jogosultságot és az útvonalat

Rögzítsen tulajdonost és pontos lejáratot abban az üzemeltetési rendszerben, amely már követi a hozzáférést. Használjon időkorlátos hozzáférést vagy ütemezett eltávolítást ott, ahol a platform támogatja, és adjon hozzá ellenőrzést arra az esetre, ha az automatizálás meghibásodik.

A megállapodott végponton a tulajdonosokon keresztül vonja ki az ideiglenes frontendet, az útvonalengedélyt és a bíráló jogosultságát. A meglévő munkamenetek és a hosszú életű kapcsolatok külön kezelést igényelnek, mert egy eltávolított útvonal nem zárja le őket.

A rövid DNS TTL nem hozzáférés-lejárat. Azt változtatja meg, meddig őrzi a feloldó a választ. Nem tilt le fiókot, nem vág el élő munkamenetet, és nem zár be egy még figyelő portot.

A gyorsítótárazott másolatok ugyanazon probléma részei. A forrásútvonal lekapcsolása nem hozza vissza a fájlt, amelyet valaki már elmentett, és a megosztott gyorsítótár a továbbító eltűnése után is szolgálhat másolatokat. A válasz- és tárolási szabályzatot a felülvizsgálat előtt válassza meg.

Ellenőrizze, hogy a régi útvonal valóban eltűnt

Az elfogadás egy új kérés, amely meghiúsul, plusz a szokásos VPN-munkafolyamat tovább működik. Tesztelje mindkettőt, mert a szokásos útvonalat megtörő eltávolítás nem tiszta eltávolítás.

A hálózaton kívülről erősítse meg, hogy a név és a forrás is zárva van:

dig +short review.example
curl -sSI --max-time 5 https://review.example/
ss -ltnp | grep ':443'

Vezessen szűk auditnaplót arról, mit hagytak jóvá, ki érhette el és mikor távolították el. Ez a napló a különbség a kontrollált kivétel és a megmagyarázatlan hosztnév között. Az ideiglenes előnézet akkor sikeres, ha biztosítja a kért felülvizsgálatot, majd megszünteti annak biztosítását. Az URL eltűnése egy csevegőüzenetből nem ez a teszt.