გჭირდებათ კიდევ საიტის VPN, როცა აპლიკაცია იყენებს mTLS-სა და SSO-ს?
გაიარეთ არხები, რომლებსაც აპლიკაციის შესვლა არასოდეს ფარავს, შემდეგ გადაწყვიტეთ კერძო ქსელზე წვდომა ზედმეტია თუ კვლავ ერთადერთი გზაა ჰოსტამდე.
შედიხართ mTLS-ით, დაფა იტვირთება და მტკიცება, რომ საიტის VPN ახლა ზედმეტია, გონივრულად ჟღერს დაახლოებით მანამ, სანამ ღამის ორ საათზე მონაცემთა ბაზის აღდგენა დაგჭირდებათ. აპლიკაციის TLS საზღვარი მხოლოდ ერთ არხს აღწერს. ჰოსტს, მონაცემთა ბაზას, სარეზერვო ასლის დანიშნულებასა და ღრუბლოვან ანგარიშს თითოეულს აქვს საკუთარი შესვლის გზა, საკუთარი იდენტობა და საკუთარი დამამტკიცებელი, და არც ერთი მათგანი არ მოწმდება წარმატებული შესვლით.
გაიარეთ გარეთ შესვლის ეკრანიდან
შედით ისე, როგორც ჩვეულებრივი მომხმარებელი, და ჩაწერეთ ყოველი ნაბიჯი, რომელსაც მოთხოვნა ეხება: ბრაუზერი, კიდე, აპლიკაციის მსმენელი, სესიების საცავი, backend API. ყოველ ნაბიჯს ჰყავს მფლობელი და აქვს ავთენტიფიკაციის გადაწყვეტილება. ახლა გაიმეორეთ გავლა ჰოსტზე პატჩების დამდებისთვის და ღამის სარეზერვო ასლის ჩამწერი დავალებისთვის. ეს გზები ჩვეულებრივ უკვე პირველ ნაბიჯზე იყოფა.
ეს გაყოფაა ის კითხვა, რომელსაც პასუხის გაცემა ღირს. საიტის VPN ზედმეტია მხოლოდ მაშინ, როცა ამ მეორე გავლის ყველა არხს აქვს დამოუკიდებლად მდგარი შესვლისა და ავტორიზაციის პოლიტიკა.
ხუთი არხი, რომლებსაც აპლიკაციის შესვლა არასოდეს ფარავს
ქვემოთ მოცემული ცხრილი ინვენტარიზაციის შაბლონია, არა განლაგების შემოწმების სია. შეავსეთ მეორე სვეტი იმით, რასაც თქვენი გარემო დღეს ნამდვილად ახორციელებს.
| Channel | Access decision to identify |
|---|---|
| Application API | Accepted TLS peer, application identity, permitted operations |
| Operating-system administration | Approved entry path, administrative identity, host permissions |
| Database maintenance | Database identity, protected connection, authorized maintenance role |
| Backup and restore | Service identity, allowed source, access to stored copies |
| Cloud control plane | Account and role permissions governing infrastructure changes |
ერთი იდენტობის პროვაიდერის გაზიარება ამ ავტორიზაციებს არ აერთიანებს. მომხმარებელი, რომელსაც API მოთხოვნის გაგზავნა შეუძლია, ამით არ არის უფლებამოსილი შეცვალოს VM-ის დისკი ან აღადგინოს მონაცემთა ბაზა აპლიკაციის სერტიფიკატებით. NIST ნულოვანი ნდობის არქიტექტურის შეჯამებაში სწორედ ამ მიზეზით ინახავს რესურსების ავთენტიფიკაციასა და ავტორიზაციას ქსელური მდებარეობისგან დამოუკიდებლად.
მხარდაჭერის ინჟინერი, რომელსაც ბილეთის წაკითხვა შეუძლია, ამით არ არის უფლებამოსილი გახსნას კონსოლი მის უკან მდგარ ჰოსტზე.
გზა რეალურია მხოლოდ მაშინ, როცა ალტერნატივა დახურული რჩება
წვდომის შეზღუდვა კერძო ადმინისტრაციულ მსმენელებზე საიტის VPN-ის ლეგიტიმური შემცვლელია, იმ პირობით, რომ შეზღუდვა აღსრულდება და არა მხოლოდ დაიხაზება. ჩვეულებრივი მარცხია ალტერნატიული მსმენელი, რომელიც არავის გახსენებია: სერვისი, რომელიც ჯერ კიდევ ყველა ინტერფეისზეა მიბმული, კონტრაქტორისთვის გახსნილი უსაფრთხოების ჯგუფის წესი, ინტერნეტიდან მისაწვდომი მართვის პორტი.
შეამოწმეთ მსმენელები და არა დიაგრამები. ჰოსტზე ჩამოთვალეთ, რა არის რეალურად მიბმული ss -ltnp-ით, და დაადასტურეთ, რომ ადმინისტრაციული პორტები კერძო მისამართზეა. ღრუბლოვან კონსოლში წაიკითხეთ სამუშაო დატვირთვის ქვექსელის შემომავალი წესები და მოძებნეთ 0.0.0.0/0 ნებისმიერ ადმინისტრაციულზე. შემდეგ სცადეთ კავშირი კერძო გზის გარედან, რადგან სწორედ ეს ტესტი პასუხობს კითხვას.
SSH-ზე ერთი მსოფლიოსთვის ღია წესი აუქმებს გვირაბის დიზაინის ყველა არგუმენტს.
დაწერეთ რუკა, სანამ დიზაინებს შეადარებთ
ინვენტარიზაციის ყოველი სტრიქონისთვის ჩაწერეთ, ვინ ამტკიცებს იდენტობებს, ვინ აახლებს წვდომის წესებს, ვინ შლის სერტიფიკატებს, როცა ვინმე მიდის, და ვინ უმკლავდება აღდგენას, როცა თავად გზა ტყდება. სტრიქონზე ოთხი სახელი საკმარისია იმ სტრიქონების გამოსავლენად, სადაც პასუხი საერთო ანგარიში და სამი წლის წინანდელი ვიკი გვერდია.
შემდეგ გადაამოწმეთ თითო ნებართვა და თითო უარი თითოეულ არხზე. ნებართვა ამტკიცებს, რომ განზრახული იდენტობა რესურსამდე განზრახული გზით მივა. უარი ამტკიცებს, რომ მსგავსი იდენტობა ვერ მივა, და სწორედ ამ ტესტს გამოტოვებენ ადამიანები, ამიტომ ალტერნატიული მსმენელები აუდიტებს გადაურჩებიან. შეადარეთ შემოთავაზებული დიზაინი ამ შედეგებს და არა აპლიკაციის TLS კონფიგურაციას, რომელსაც არც ერთი მათგანი არასოდეს გამოუცდია.
სად იმსახურებს საიტის VPN ჯერ კიდევ თავის ადგილს
გვირაბი ან ვიწრო კარიბჭე სწორი პასუხია, როცა რესურსს არ აქვს საკუთარი ავთენტიფიკაცია ყოველ მოთხოვნაზე: მონაცემთა ბაზის ტექნიკური მომსახურების პორტები, სარეზერვო ასლების დანიშნულებები, ჰიპერვიზორის კონსოლები, ზოლის გარეშე მართვა. ეს მსმენელები ქსელს ენდობიან, ამიტომ ქსელი უნდა იყოს ის, ვინც ავთენტიფიცირებს გამომძახებელს.
ეს ერთადერთი პასუხი არ არის. კარიბჭე, რომელიც ყოველ რესურსზე ამთავრებს ავტორიზაციას, შეიძლება უფრო ვიწრო იყოს, ვიდრე მთელ ქვექსელზე გადაჭიმული გვირაბი, და უკეთეს აუდიტის კვალს ტოვებს, ვიდრე საერთო ნახტომი ჰოსტი.
სამუშაოს რიგი: დაასრულეთ ინვენტარიზაცია, დახურეთ ალტერნატივები, გადაამოწმეთ თითო უარი სტრიქონზე და მხოლოდ ამის შემდეგ უარი თქვით გვირაბზე. თუ სტრიქონი უარს ვერ ქმნის, შეინახეთ კერძო გზა მანამ, სანამ შეძლებს.