VPC алыскы кирүүсүн кабыл алуу баш тартуу тесттерин талап кылат

Алыскы кирүүнү кабыл алуу — күтүлгөн жыйынтыктардын таблицасы, иштеген барактын скриншоту эмес. Ар бир топ үчүн эмне ийгиликтүү болушу жана эмне ийгиликсиз болушу керектигин жазыңыз, анан экөөнү тең контролдонгон терезеде атайын тесттик идентификациялар менен иштетиңиз. Чекти далилдеген бөлүк — баш тартуулар; ийгиликтүү кирүү туннелдин бар экенин гана далилдейт. Мунун баары мурун тандалган VPN продуктусу менен иштейт.

Тесттер үчүн өзүнчө эсептерди колдонуңуз жана аларды тесттик идентификацияны чыныгы өзгөчөлүк менен эч ким чаташтырбай тургандай белгилеңиз.

Чекти күтүлгөн жыйынтыктар катары жазыңыз

Компоненттерден эмес, ролдордон баштаңыз: кимге кайсы кызмат, кайдан жана кайсы идентификация менен керек. Мисал VPC алыңыз: бир топко HTTPS аркылуу сыноо чөйрөсү керек, экинчисине өндүрүштүк маалымат базасы керек, ал эми үчүнчү жана кичирээк топ дарбазанын өзүн башкарат. Ар бир сап күтүлгөн уруксатты жана күтүлгөн баш тартууну алат, анын ичинде иштебеши керек болгон коңшу кызмат жана коңшу эсеп. Ошол таблица кабыл алуу критерийи жана тесттерди аткарбаган адамдар да аны карап чыга алышат.

Маалымат базасына кирүүнү тармак жолунан өзүнчө текшериңиз. Жеткиликтүү TCP порту уруксат алыбаган маалымат базасынын эсебин ийгиликтүү кылбашы керек, ал эми VPN мүчөлүгү булуттук IAM ролун түзбөшү же административдик API кирүүсүн бербеши керек. Бул үч көз карандысыз көзөмөл жана алар көз карандысыз түрдө ийгиликсиз болот.

Маршрут — авторизация эмес

Маршрут жолду мүмкүн кылат; ал уруксат бербейт. Маршрутту жашыруу — дайындалган жерде колдонулуучу чектөөнүн алсыз ордун толтуруучусу, анткени кардар ар дайым өз маршрутун кошо алат. Коопсуздук тобу, маалымат базасынын уруксаты жана колдонмонун өз авторизациясы чечүүчү көзөмөлдөр бойдон калат. Тест күтүлбөгөн жерден ийгиликтүү болсо, адегенде багыттын саясатын караңыз, кардарда болушун каалаган маршруттоо таблицасын эмес.

Ошондуктан баш тартуу тесттери сервер тарабын көздөйт: бул жыйынтыктарды кардарды оңдоо менен өзгөртүүгө болбойт.

Көзөмөл чындыгында кайсы булакты көрөт?

Көзөмөл баалаган булак дареги дарбазанын архитектурасына жараша болот. EC2де жайгашкан дарбаза маршрутталган пулду өткөрүп бере алат, аны өз дарегине которот же NATтан кийин башка даректи сунуштай алат; башкарылуучу Client VPN ички тармакка туташып, өз моделине ээрчийт. Коопсуздук топтору жана тармактык ACL ушул иштетүүдөн кийин келген нерсени көрөт. Эрежени туура эмес булак божомолу менен текшерүү — туура көрүнгөн жана туура эмес трафикти өткөргөн чек куруунун кеңири тараган жолу.

Ар бир жыйынтыкты эң кичине пайдалуу окуя менен байланыштырыңыз: идентификация жана сессия, ресурс, операция, убакыт жана чечим. CloudTrail API чакыруусу, VPC агымынын жазуусу жана VPN сессия журналы ар башка суроолорго жооп берет жана алардын бири да жалгыз өзү колдонмо аудити эмес.

Идентификацияны кайтарып алып, кайра текшериңиз

Кайтарып алууну ошол эле таблицага кошуңуз. Тесттик идентификацияны алып салыңыз, жаңы сессиянын четке кагылганын ырастаңыз, анан учурдагы сессияларга кандай мамиле кылынарын өзүнчө ырастаңыз, анткени бул ар башка ээлери бар ар башка жүрүм-турумдар. Дарбаза кайра иштетилгенден же алмаштырылгандан кийин эмне болорун текшериңиз, кол менен кошулган өзгөчөлүк үнсүз жоголбосун же кененирээк кайтып келбесин. Кийинки жайгаштырууга чейин гана созулган чек чек эмес.

Мунун эч бири патчтоо, калыбына келтирүү же креденциалдардын жашоо циклинен иштерди алмаштырбайт. Ал тарыраак убаданы өлчөнүүчү кылат: туура адамдар туура кызматтарга жетет, ал эми жакын маршруттар, эсептер жана башкаруу беттери уруксаттын сыртында калат.

Таблицаны жайгаштыруу менен бирге сактаңыз жана дарбаза өзгөргөндө кайра иштетиңиз. Тесттер арзан; алардын артындагы божомолдор арзан эмес.