Արդյո՞ք ձեզ դեռ պետք է կայքի VPN, երբ հավելվածը օգտագործում է mTLS և SSO։
Անցեք այն ուղիներով, որոնք հավելվածի մուտքը երբեք չի ծածկում, ապա որոշեք՝ մասնավոր ցանցի հասանելիությունն ավելորդ է, թե դեռ միակ ճանապարհն է դեպի հոսթ։
Դուք մուտք եք գործում mTLS-ով, վահանակը բեռնվում է, և այն պնդումը, թե կայքի VPN-ն այժմ ավելորդ է, ողջամիտ է հնչում մոտավորապես այնքան, քանի դեռ գիշերվա երկուսին ձեզ պետք չի գա վերականգնել տվյալների բազա։ Հավելվածի TLS սահմանը նկարագրում է միայն մեկ ուղի։ Հոսթը, տվյալների բազան, պահուստավորման նպատակակետը և ամպային հաշիվը յուրաքանչյուրն ունի իր մուտքի ճանապարհը, իր ինքնությունը և իր հաստատողը, և դրանցից ոչ մեկը չի փորձարկվում հաջող մուտքով։
Քայլեք դուրս մուտքի էկրանից
Մուտք գործեք այնպես, ինչպես սովորական օգտատերը, և գրի առեք յուրաքանչյուր քայլը, որին դիպչում է հարցումը՝ զննարկիչ, եզր, հավելվածի լսող, սեսիաների պահոց, հետին API։ Յուրաքանչյուր քայլ ունի սեփականատեր և նույնականացման որոշում։ Այժմ կրկնեք անցումը հոսթը կարկատող մարդու համար և գիշերային պահուստը գրող աշխատանքի համար։ Այդ անցումները սովորաբար տարանջատվում են արդեն առաջին քայլին։
Այդ տարանջատումը հենց այն հարցն է, որին արժե պատասխանել։ Կայքի VPN-ն ավելորդ է միայն այն դեպքում, երբ այդ երկրորդ անցման յուրաքանչյուր ուղին ունի ինքնուրույն կանգնած մուտքի և լիազորման քաղաքականություն։
Հինգ ուղի, որոնք հավելվածի մուտքը երբեք չի ծածկում
Ստորև բերված աղյուսակը գույքագրման ձևանմուշ է, ոչ թե տեղակայման ստուգաթերթ։ Լրացրեք երկրորդ սյունակը նրանով, ինչ ձեր սեփական միջավայրն իսկապես կիրառում է այսօր։
| Channel | Access decision to identify |
|---|---|
| Application API | Accepted TLS peer, application identity, permitted operations |
| Operating-system administration | Approved entry path, administrative identity, host permissions |
| Database maintenance | Database identity, protected connection, authorized maintenance role |
| Backup and restore | Service identity, allowed source, access to stored copies |
| Cloud control plane | Account and role permissions governing infrastructure changes |
Նույնականացման մատակարարի համօգտագործումը չի միավորում այս լիազորումները։ API հարցում ուղարկել թույլատրված օգտատերը դրանով իրավասու չէ փոխարինել VM-ի սկավառակը կամ վերականգնել տվյալների բազա հավելվածի հավատարմագրերով։ NIST-ը զրոյական վստահության ճարտարապետության ամփոփագրում հենց այդ պատճառով ռեսուրսների նույնականացումն ու լիազորումը ցանցային դիրքից առանձին է պահում։
Աջակցության ինժեները, որը կարող է կարդալ տոմս, դրանով իրավասու չէ բացել վահանակ այն հոսթի վրա, որ գտնվում է դրա հետևում։
Ճանապարհը իրական է միայն այն դեպքում, երբ այլընտրանքը փակ է մնում
Հասանելիությունը մասնավոր վարչական լսողներով սահմանափակելը կայքի VPN-ի օրինական փոխարինում է, պայմանով որ սահմանափակումը կիրառվում է, և ոչ թե միայն գծվում։ Սովորական ձախողումը այլընտրանքային լսողն է, որի մասին ոչ ոք չի հիշել՝ ծառայություն, որը դեռ կապված է բոլոր ինտերֆեյսներին, անվտանգության խմբի կանոն, որը բացվել է կապալառուի համար, կառավարման պորտ, որը հասանելի է ինտերնետից։
Ստուգեք լսողներին, ոչ թե գծապատկերները։ Հոսթի վրա ss -ltnp-ով թվարկեք, թե ինչն է իրականում կապված, և հաստատեք, որ վարչական պորտերը գտնվում են մասնավոր հասցեում։ Ամպային վահանակում կարդացեք աշխատանքային բեռի ենթացանցի ներգնա կանոնները և փնտրեք 0.0.0.0/0 ցանկացած վարչական բանի վրա։ Ապա փորձեք կապը մասնավոր ճանապարհից դուրս, որովհետև հենց այդ փորձարկումն է պատասխանում հարցին։
SSH-ի վրա մեկ ամբողջ աշխարհի համար բաց կանոնը չեղարկում է թունելի նախագծի բոլոր փաստարկները։
Գրեք քարտեզը նախքան նախագծերը համեմատելը
Գույքագրման յուրաքանչյուր տողի համար գրանցեք, թե ով է հաստատում ինքնությունները, ով է թարմացնում մուտքի կանոնները, ով է հեռացնում հավատարմագրերը, երբ ինչ-որ մեկը հեռանում է, և ով է զբաղվում վերականգնմամբ, երբ ինքը ճանապարհը կոտրվում է։ Տողի համար չորս անուն բավական է բացահայտելու այն տողերը, որտեղ պատասխանը համօգտագործվող հաշիվ և երեք տարվա վիքի էջ է։
Ապա ստուգեք մեկ թույլտվություն և մեկ մերժում յուրաքանչյուր ուղու համար։ Թույլտվությունը ապացուցում է, որ նախատեսված ինքնությունը կարող է հասնել ռեսուրսին նախատեսված ճանապարհով։ Մերժումը ապացուցում է, որ նմանատիպ ինքնությունը չի կարող, և հենց այդ փորձարկումն են մարդիկ բաց թողնում, ինչի պատճառով այլընտրանքային լսողները վերապրում են աուդիտներից։ Համեմատեք առաջարկված նախագիծը այս արդյունքների հետ, ոչ թե հավելվածի TLS կարգավորման, որը երբեք չի փորձարկել դրանցից ոչ մեկը։
Որտեղ կայքի VPN-ը դեռ արժանի է իր տեղին
Թունելը կամ նեղ դարպասը ճիշտ պատասխանն է, երբ ռեսուրսն իր սեփական նույնականացումը չունի յուրաքանչյուր հարցման համար՝ տվյալների բազայի սպասարկման պորտեր, պահուստավորման նպատակակետեր, հիպերվիզորի վահանակներ, շերտից դուրս կառավարում։ Այդ լսողները վստահում են ցանցին, ուստի ցանցն է, որ պետք է նույնականացնի զանգահարողին։
Սա միակ պատասխանը չէ։ Դարպասը, որը ավարտում է լիազորումը յուրաքանչյուր ռեսուրսի համար, կարող է ավելի նեղ լինել, քան ամբողջ ենթացանցի թունելը, և ավելի լավ աուդիտի հետք է թողնում, քան համօգտագործվող ցատկող հոսթը։
Աշխատանքի հերթականությունը՝ լրացրեք գույքագրումը, փակեք այլընտրանքները, ստուգեք մեկ մերժում յուրաքանչյուր տողի համար և միայն դրանից հետո հրաժարվեք թունելից։ Եթե տողը չի կարող մերժում ստեղծել, պահեք մասնավոր ճանապարհը, քանի դեռ այն չի կարող։