მიღების შემოწმებები ვირტუალური VPN კარიბჭისთვის ორფაქტორიანი ავთენტიფიკაციით
დაამტკიცეთ კარიბჭე ეტაპობრივად: რეგისტრაცია, შესვლა, უარი, გაუქმება და აღდგენა, თითოეული არტეფაქტით და ტესტამდე დაწერილი გავლის პირობით.
მომწოდებლები ამ მოწყობილობას აღწერენ როგორც ვირტუალურს და ორფაქტორიან შესაძლებლობის მქონეს, და არც ერთი ამ სიტყვიდან არ პასუხობს შესყიდვის განმსაზღვრელ კითხვებს. რომელი ჰიპერვიზორის იმიჯია მხარდაჭერილი, რომელ კლიენტებს შეუძლიათ რეგისტრაცია, რას ამტკიცებს სინამდვილეში მეორე ფაქტორი და რა ხდება, როცა იდენტობის მომწოდებელი გამოდის მწყობრიდან, ჯერ კიდევ ღიაა. აქციეთ ისინი მიღების ეტაპებად, რომლებსაც სავარჯიშოში გაუშვებთ, და გადაწყვეტილება შეწყვეტს დამოკიდებულებას იმაზე, რამდენად დამაჯერებელია მონაცემთა ფურცელი. ქვემოთ მოცემული ფურცელი ამ მტკიცებულებების სტრუქტურაა და არა პროდუქტების რეიტინგი.
რა უნდა დაადასტუროს მომწოდებელმა ამ განლაგების შესახებ
დაიწყეთ განლაგების ერთ გვერდზე მოქცევით: ჰიპერვიზორი ან ღრუბელი, სტუმრის არქიტექტურა, მხარდაჭერილი იმიჯი და ინტერფეისები, რომლებსაც მოწყობილობა ელოდება. დაამატეთ მომხმარებლები მათი ოპერაციული სისტემებით, მართვადია თუ არა მოწყობილობები და როგორ უნდა იმუშაოს რეგისტრაციამ და შესვლამ. შემდეგ კერძო წვდომა: აპლიკაციები და პრეფიქსები, DNS მოწყობა, დაბრუნების ბილიკები და შედის თუ არა საჯარო ინტერნეტ გასასვლელი შეთავაზებაში.
ოპერაციებიც იმავე გვერდს ეკუთვნის: ვინ ინახავს მოწყობილობას, საიდან მოდის განახლებები, სად მიდის ჟურნალები, როგორ არის დაცული კონფიგურაცია და რა აღდგენის მიზანზე შეთანხმდა რეალურად ბიზნესი. სთხოვეთ მომწოდებელს დაადასტუროს ზუსტად ეს კომბინაცია და არა ის, რომ პროგრამა ვირტუალურ მანქანაში მუშაობს. შეინახეთ ხილული გარე დამოკიდებულებები, როგორიცაა იდენტობის მომწოდებელი ან ლიცენზირების სერვისი, რადგან ისინი განლაგების ნაწილია, მიწოდებული იქნას ისინი მასთან ერთად თუ არა. დასახელებული დამოკიდებულების გარეშე განლაგების გვერდი ჩვეულებრივ უცნობი დამოკიდებულების მქონე განლაგების გვერდია.
დაამტკიცეთ, რომ მეორე ფაქტორი მეორე ფაქტორია
დაასახელეთ ავთენტიფიკატორი და შემოწმების ნაკადი და თქვით, რომელ იდენტობას ამყარებს თითოეული ნაბიჯი. ზედიზედ ორი პაროლის მოთხოვნა მეორე ფაქტორი არ არის, და პაროლი ერთჯერად კოდთან ერთად განსხვავებული მტკიცებაა, ვიდრე სერვისზე მიბმული კრიპტოგრაფიული ავთენტიფიკატორი. ჩაწერეთ ნაკადი, რომელსაც ყიდულობთ და არა იარლიყი ყუთზე.
ფიშინგის მიმართ გამძლეობა ცალკე თვისებაა და NIST-ის სახელმძღვანელო ავთენტიფიკატორების შესახებ სწორედ ასე განიხილავს მას: კოდი, რომლის გადაცემაზე მომხმარებლის მოტყუება შეიძლება, კვლავ აკმაყოფილებს მრავალფაქტორიან ავთენტიფიკაციას, მაგრამ ვერ ასრულებს ამ დამატებით პირობას. მოითხოვეთ თვისება ცალსახად, თუ ის თქვენთვის მნიშვნელოვანია. შემდეგ მოითხოვეთ დემონსტრაცია იმ კლიენტის ტიპიდან, რომელსაც თქვენი მომხმარებლები რეალურად იყენებენ, რომელიც მოიცავს რეგისტრაციას, უარყოფილ ან ვადაგასულ გამოწვევას, აღდგენას დაკარგული ავთენტიფიკატორის შემდეგ და ერთი მომხმარებლის გაუქმებას, სანამ სხვები დაკავშირებულნი რჩებიან. შეინახეთ კარიბჭის იდენტობის შემოწმება ფარგლებში, რადგან კლიენტმა, რომელიც ნებისმიერ კარიბჭეს ენდობა, პრობლემა გადაიტანა და არა გადაჭრა.
დაწერეთ გავლის პირობა სანამ რამეს გატეხთ
ქვემოთ მოცემული ცხრილი ფურცლის ის ნაწილია, რომელიც მომწოდებელთან შეხებას უძლებს, რადგან ყოველი სტრიქონი გარანტიის ნაცვლად არტეფაქტს ითხოვს. შეავსეთ გავლის პირობა სავარჯიშომდე და არტეფაქტის გარეშე სტრიქონს ჩავარდნილ სტრიქონად მიუდექით. ხუთი ეტაპი მოიცავს იმას, რაც კარიბჭემ უნდა გააკეთოს.
| Acceptance stage | Evidence to keep | Pass condition |
|---|---|---|
| Enrolment | Enrolment record with the device type and the identity used | A new device enrols once, and nobody else can enrol it afterwards |
| Sign-in with the second factor | Session record naming both factors and the gateway identity that was checked | The session carries the expected identity and the gateway certificate validated |
| Denial of an unapproved destination | Log line from the control that refused the flow, with the policy name | The flow is refused and the refusal is attributable to one control |
| Revocation of one user | Revocation timestamp and the sessions that survived it | The named user is out and unaffected users keep working |
| Restore from configuration backup | Restored version plus a probe of a revoked identity | The revision matches the backup and revoked identities stay revoked |
რეგისტრაცია პირველია, რადგან მასზეა დამოკიდებული ყველაფერი შემდგომი: მოწყობილობას, რომელსაც რეგისტრაცია არ შეუძლია, გამოცდა ვერ ჩაუტარდება. შესვლა რეგისტრაციისგან ცალკე ეტაპია, ხოლო უარი ის ეტაპია, რომელსაც ფურცლების უმეტესობა ივიწყებს, რადგან ყველას შემშვები კარიბჭე არ ამტკიცებს, რომ ვინმეს უარს ეუბნება. გაუქმება და აღდგენა ოპერაციული რისკის დიდ ნაწილს ატარებს და ორივე იაფია ასლზე სავარჯიშოდ.
ივარჯიშეთ ასლზე და არა მოქმედ კარიბჭეზე
გაუშვით ხელისშემშლელი ეტაპები პლატფორმის ასლზე, მხარდაჭერილი განლაგების პროცედურის დაცვით, და შეინახეთ თითოეული მტკიცებულება მისი თარიღითა და კონფიგურაციის ვერსიით. გადატვირთვის სტრიქონს არ პასუხობს კონსოლიდან გადატვირთვა, ხოლო აღდგენის სტრიქონს არ პასუხობს კონფიგურაციის ექსპორტი. აღნიშნეთ რომელი მდგომარეობა ბრუნდება თავისით და რა უნდა ხელახლა დაუკავშირდეს, რადგან სწორედ ამ განსხვავებას იმკვიდრებს ოპერაციების გუნდი. სავარჯიშო ასევე ერთადერთი შანსია აღდგენის დრო გაზომოთ შეფერხების ახსნის გარეშე.
ჩაწერეთ იდენტობის მომწოდებლის მდგომარეობა ყოველი ტესტის მომენტში, რადგან ჯანსაღი მომწოდებლის წინააღმდეგ გამოცდილი შეფერხების სტრიქონი ამტკიცებს იმის საპირისპიროს, რასაც ფურცელი აცხადებს. ერთსა და იმავე სავარჯიშოზე ორი მიმომხილველი სხვადასხვას იჭერს და მეორე ჩვეულებრივ პოულობს სტრიქონს, რომლის მტკიცებულებაც საინფორმაციო პანელის ეკრანის სურათია. შეინახეთ ეს მტკიცებულება მიმაგრებული იმ სტრიქონზე, რომელსაც ეკუთვნის და არა პროექტის სახელობის საქაღალდეში.
გაზომეთ დატვირთვა, რომელსაც თქვენი გუნდი შეასრულებს
შეათანხმეთ ჩვეულებრივი კვირის მსგავსი დატვირთვა, შემდეგ გაზომეთ იქ, სადაც განლაგებას აპირებთ: პარალელურობა, ტრაფიკის ნარევი და ტექნიკური მომსახურების ფანჯარა, რომელიც გუნდს რეალურად აქვს. გამოცხადებული გამტარუნარიანობის რიცხვი აღწერს ლაბორატორიულ პირობას და თქვენს მომხმარებლებზე არაფერს ამბობს. გაზომეთ აღდგენა აღდგენის მიზანთან და არა გეგმასთან.
ფურცელი დასრულებულია, როცა ყოველ ეტაპს აქვს არტეფაქტი და ყოველ არტეფაქტს აქვს თარიღი. მოწყობილობა, რომელსაც ვიღაც ინახავს, ყოველი სტრიქონის მტკიცებულებით, სხვა შესყიდვაა, ვიდრე მონიშნული უჯრების ყველაზე გრძელი სია.