Қолданба mTLS мен SSO қолданса, сайт VPN әлі де керек пе?
Қолданбаға кіру ешқашан қамтымайтын арналарды аралап шығыңыз, содан кейін жеке желіге қатынау артық па әлде хостқа әлі де жалғыз жол ба екенін шешіңіз.
mTLS арқылы кіресіз, бақылау тақтасы жүктеледі, ал сайт VPN енді артық деген тұжырым түнгі екіде дерекқорды қалпына келтіру қажет болғанға дейін ғана ақылға қонымды көрінеді. Қолданбаның TLS шекарасы тек бір арнаны сипаттайды. Хост, дерекқор, резервтік көшірме мақсаты және бұлттық тіркелгі — әрқайсысының өз кіреберіс жолы, өз сәйкестігі және өз бекітушісі бар, және олардың ешқайсысы сәтті кірумен тексерілмейді.
Кіру экранынан сыртқа қарай жүріңіз
Қарапайым пайдаланушы сияқты кіріп, сұраныс тиетін әрбір қадамды жазыңыз: браузер, шет, қолданба тыңдаушысы, сессия қоймасы, backend API. Әр қадамның иесі және аутентификация шешімі бар. Енді хостқа патч салатын адам үшін және түнгі резервтік көшірмені жазатын жұмыс үшін жүрісті қайталаңыз. Бұл жолдар әдетте бірінші қадамда-ақ ажырайды.
Осы ажырау — жауап беруге тұрарлық сұрақ. Сайт VPN тек сол екінші жүрістің әр арнасында өз бетінше тұратын кіру және авторизация саясаты болғанда ғана артық болады.
Қолданбаға кіру ешқашан қамтымайтын бес арна
Төмендегі кесте — түгендеу үлгісі, орналастыруды тексеру тізімі емес. Екінші бағанды сіздің ортаңыз бүгін шынымен қолданатын нәрсемен толтырыңыз.
| Channel | Access decision to identify |
|---|---|
| Application API | Accepted TLS peer, application identity, permitted operations |
| Operating-system administration | Approved entry path, administrative identity, host permissions |
| Database maintenance | Database identity, protected connection, authorized maintenance role |
| Backup and restore | Service identity, allowed source, access to stored copies |
| Cloud control plane | Account and role permissions governing infrastructure changes |
Бір сәйкестік провайдерін ортақ пайдалану бұл авторизацияларды біріктірмейді. API сұранысын жібере алатын пайдаланушы бұнымен VM дискісін ауыстыруға немесе қолданбаның тіркелгі деректерімен дерекқорды қалпына келтіруге құқылы емес. NIST нөлдік сенім архитектурасының қорытындысында дәл осы себепті ресурстардың аутентификациясы мен авторизациясын желілік орналасудан бөлек ұстайды.
Тикетті оқи алатын қолдау инженері бұнымен оның артындағы хостта консоль ашуға құқылы емес.
Жол тек балама жабық тұрғанда ғана шынайы
Қатынауды жеке әкімшілік тыңдаушылармен шектеу — сайт VPN-нің заңды алмастырғышы, бірақ шектеу орындалуы керек, тек сызылмауы керек. Әдеттегі сәтсіздік — ешкім есіне алмаған балама тыңдаушы: барлық интерфейстерге әлі де байланған қызмет, мердігер үшін ашылған қауіпсіздік тобының ережесі, интернеттен қолжетімді басқару порты.
Диаграммаларды емес, тыңдаушыларды тексеріңіз. Хостта ss -ltnp арқылы шынымен не байланғанын тізіп, әкімшілік порттардың жеке мекенжайда екенін растаңыз. Бұлттық консольде жұмыс жүктемесінің ішкі желісі үшін кіріс ережелерін оқып, кез келген әкімшілік нәрседе 0.0.0.0/0 іздеңіз. Содан кейін қосылымды жеке жолдан тыс жерден көріп көріңіз, өйткені сұраққа жауап беретін дәл сол тест.
SSH-те бір ғана әлемге ашық ереже туннель дизайнының барлық дәлелін жояды.
Дизайндарды салыстырмас бұрын картаны жазыңыз
Түгендеудің әр жолы үшін кім сәйкестіктерді бекітетінін, кім қатынау ережелерін жаңартатынын, біреу кеткенде кім тіркелгі деректерін жоятынын және жолдың өзі бұзылғанда кім қалпына келтірумен айналысатынын жазыңыз. Әр жолға төрт есім жауабы ортақ тіркелгі мен үш жыл бұрынғы вики беті болатын жолдарды әшкерелеуге жеткілікті.
Содан кейін әр арна үшін бір рұқсат пен бір бас тартуды тексеріңіз. Рұқсат көзделген сәйкестіктің ресурсқа көзделген жолмен жете алатынын дәлелдейді. Бас тарту ұқсас сәйкестіктің жете алмайтынын дәлелдейді, және адамдар дәл осы тестті өткізіп жібереді, сондықтан балама тыңдаушылар аудиттен аман қалады. Ұсынылған дизайнды осы нәтижелермен салыстырыңыз, қолданбаның TLS конфигурациясымен емес, өйткені ол олардың ешқайсысын сынамаған.
Сайт VPN қай жерде әлі де өз орнын ақтайды
Туннель немесе тар шлюз — ресурстың әр сұранысқа өз аутентификациясы болмағанда дұрыс жауап: дерекқорға техникалық қызмет көрсету порттары, резервтік көшірме мақсаттары, гипервизор консольдері, жолақтан тыс басқару. Ол тыңдаушылар желіге сенеді, сондықтан қоңырау шалушыны аутентификациялайтын нәрсе желі болуы керек.
Бұл жалғыз жауап емес. Әр ресурс бойынша авторизацияны аяқтайтын шлюз бүкіл ішкі желіге арналған туннельден тарырақ болуы мүмкін және ортақ секіру хостінен жақсырақ аудит ізін қалдырады.
Жұмыс тәртібі: түгендеуді аяқтаңыз, баламаларды жабыңыз, әр жол үшін бір бас тартуды тексеріңіз, содан кейін ғана туннельден бас тартыңыз. Егер жол бас тарту жасай алмаса, жасай алатынға дейін жеке жолды ұстап тұрыңыз.