Kell még helyszíni VPN, ha az alkalmazás mTLS-t és SSO-t használ?
Járja végig azokat a csatornákat, amelyeket az alkalmazás bejelentkezése soha nem fed le, majd döntse el, hogy a privát hálózati hozzáférés felesleges-e, vagy még mindig az egyetlen út a gazdagéphez.
mTLS-sel jelentkezik be, a műszerfal betöltődik, és az az állítás, hogy a helyszíni VPN mostantól felesleges, nagyjából addig hangzik ésszerűnek, amíg hajnali kettőkor nem kell egy adatbázist helyreállítani. Az alkalmazás TLS-határa egyetlen csatornát ír le. A gazdagép, az adatbázis, a biztonsági mentés célja és a felhőfiók külön-külön hozza a saját belépési útvonalát, a saját identitását és a saját jóváhagyóját, és egyiket sem gyakorolja egy sikeres bejelentkezés.
Sétáljon kifelé a bejelentkező képernyőtől
Jelentkezzen be úgy, ahogy egy hétköznapi felhasználó tenne, és jegyezze fel minden ugrást, amelyet a kérés érint: böngésző, perem, alkalmazás-figyelő, munkamenet-tár, háttér-API. Minden ugrásnak van gazdája és hitelesítési döntése. Most ismételje meg a sétát annak, aki a gazdagépet javítja, és annak a feladatnak, amely az éjszakai mentést írja. Ezek a séták általában már az első ugrásnál szétválnak.
Ez a szétválás az a kérdés, amelyet érdemes megválaszolni. A helyszíni VPN csak akkor felesleges, ha a második séta minden csatornájának van önálló belépési és engedélyezési szabályzata.
Öt csatorna, amelyet az alkalmazás bejelentkezése soha nem fed le
Az alábbi táblázat leltársablon, nem telepítési ellenőrzőlista. Töltse ki a második oszlopot azzal, amit a saját környezete ma valóban érvényesít.
| Channel | Access decision to identify |
|---|---|
| Application API | Accepted TLS peer, application identity, permitted operations |
| Operating-system administration | Approved entry path, administrative identity, host permissions |
| Database maintenance | Database identity, protected connection, authorized maintenance role |
| Backup and restore | Service identity, allowed source, access to stored copies |
| Cloud control plane | Account and role permissions governing infrastructure changes |
Egy identitásszolgáltató megosztása nem vonja össze ezeket az engedélyeket. Az a felhasználó, aki API-kérést küldhet, ezzel nem jogosult VM-lemez cseréjére vagy adatbázis helyreállítására az alkalmazás hitelesítő adataival. A NIST a zéró bizalmi architektúra összefoglalójában éppen ezért tartja az erőforrások hitelesítését és engedélyezését a hálózati helytől elkülönítve.
Az a támogatási mérnök, aki el tud olvasni egy jegyet, ezzel nem jogosult konzolt nyitni a mögötte lévő gazdagépen.
Egy útvonal csak akkor valódi, ha az alternatíva zárva marad
A privát adminisztratív figyelőkre korlátozott elérhetőség jogos helyettesítője a helyszíni VPN-nek, feltéve hogy a korlátozást érvényesítik, és nem csak rajzolják. A szokásos hiba egy alternatív figyelő, amelyre senki nem emlékezett: minden interfészhez kötött szolgáltatás, egy vállalkozó számára megnyitott biztonsági csoport szabály, internetről elérhető felügyeleti port.
Figyelőket ellenőrizzen, ne diagramokat. A gazdagépen listázza ki ss -ltnp-vel, mi van valóban kötve, és erősítse meg, hogy az adminisztratív portok privát címen vannak. A felhőkonzolban olvassa el a munkaterhelés alhálózatának bejövő szabályait, és keressen 0.0.0.0/0 bejegyzést bármi adminisztratívon. Ezután próbálja ki a kapcsolatot a privát útvonalon kívülről, mert ez a teszt az, amely megválaszolja a kérdést.
Egyetlen világra nyitott szabály az SSH-n semmissé tesz minden érvet, amelyet az alagút tervezése hozott.
Írja meg a térképet, mielőtt összehasonlítja a terveket
A leltár minden sorához jegyezze fel, ki hagyja jóvá az identitásokat, ki frissíti a hozzáférési szabályokat, ki távolítja el a hitelesítő adatokat, amikor valaki távozik, és ki foglalkozik a helyreállítással, amikor maga az útvonal megszakad. Soroként négy név elég ahhoz, hogy felfedje azokat a sorokat, ahol a válasz egy megosztott fiók és egy hároméves wikioldal.
Ezután érvényesítsen csatornánként egy engedélyezést és egy megtagadást. Az engedélyezés bizonyítja, hogy a szándékolt identitás eléri az erőforrást a szándékolt útvonalon. A megtagadás bizonyítja, hogy egy hasonló identitás nem tudja, és éppen ezt a tesztet hagyják ki az emberek, ezért élik túl az alternatív figyelők az auditokat. Hasonlítsa össze a javasolt tervet ezekkel az eredményekkel, ne az alkalmazás TLS-konfigurációjával, amely soha egyiket sem gyakorolta.
Ahol a helyszíni VPN még kiérdemli a helyét
Az alagút vagy egy keskeny átjáró a helyes válasz, ha egy erőforrásnak nincs saját kérésenkénti hitelesítése: adatbázis-karbantartási portok, mentési célok, hipervizor-konzolok, sávon kívüli felügyelet. Azok a figyelők a hálózatban bíznak, ezért a hálózatnak kell hitelesítenie a hívót.
Nem ez az egyetlen válasz. Egy átjáró, amely erőforrásonként lezárja az engedélyezést, szűkebb lehet a teljes alhálózatra kiterjedő alagútnál, és jobb auditnyomot hagy, mint egy megosztott ugrógazdagép.
A munka sorrendje: fejezze be a leltárt, zárja le az alternatívákat, érvényesítsen soronként egy megtagadást, és csak ezután vonja ki az alagutat. Ha egy sor nem tud megtagadást létrehozni, tartsa a privát útvonalat, amíg nem tud.