Ar jums dar reikia svetainės VPN, kai programėlė naudoja mTLS ir SSO?
Pereikite kanalus, kurių programėlės prisijungimas niekada neapima, tada nuspręskite, ar prieiga prie privataus tinklo yra perteklinė, ar vis dar vienintelis kelias į hostą.
Prisijungiate per mTLS, atidaroma suvestinė, o teiginys, kad svetainės VPN dabar yra perteklinis, skamba pagrįstai maždaug tiek, kol dviejų valandų nakties jums prireikia atkurti duomenų bazę. Programėlės TLS riba aprašo tik vieną kanalą. Hostas, duomenų bazė, atsarginių kopijų paskirtis ir debesijos paskyra kiekvienas turi savo įėjimo kelią, savo tapatybę ir savo tvirtintoją, ir nė vienas jų nėra tikrinamas sėkmingu prisijungimu.
Eikite į išorę nuo prisijungimo ekrano
Prisijunkite kaip eilinis naudotojas ir užsirašykite kiekvieną žingsnį, kurį paliečia užklausa: naršyklė, kraštas, programėlės klausytojas, sesijų saugykla, backend API. Kiekvienas žingsnis turi savininką ir autentifikavimo sprendimą. Dabar pakartokite ėjimą žmogui, kuris taiko hosto pataisus, ir užduočiai, kuri rašo naktinę atsarginę kopiją. Tie keliai paprastai išsiskiria jau pirmame žingsnyje.
Būtent šis išsiskyrimas yra klausimas, į kurį verta atsakyti. Svetainės VPN yra perteklinis tik tada, kai kiekvienas to antro ėjimo kanalas turi savarankišką įėjimo ir autorizacijos politiką.
Penki kanalai, kurių programėlės prisijungimas niekada neapima
Toliau pateikta lentelė yra inventorizacijos šablonas, o ne diegimo kontrolinis sąrašas. Užpildykite antrą stulpelį tuo, ką jūsų aplinka šiandien iš tikrųjų vykdo.
| Channel | Access decision to identify |
|---|---|
| Application API | Accepted TLS peer, application identity, permitted operations |
| Operating-system administration | Approved entry path, administrative identity, host permissions |
| Database maintenance | Database identity, protected connection, authorized maintenance role |
| Backup and restore | Service identity, allowed source, access to stored copies |
| Cloud control plane | Account and role permissions governing infrastructure changes |
Vieno tapatybės teikėjo bendrinimas nesujungia šių autorizacijų. Naudotojas, kuriam leidžiama siųsti API užklausą, tuo neįgyja teisės pakeisti VM disko ar atkurti duomenų bazės naudojant programėlės kredencialus. NIST nulinio pasitikėjimo architektūros santraukoje būtent dėl šios priežasties laiko išteklių autentifikavimą ir autorizaciją atskirai nuo tinklo vietos.
Palaikymo inžinierius, kuris gali perskaityti bilietą, tuo neįgyja teisės atidaryti konsolės hoste, esančiame už jo.
Kelias yra tikras tik tada, kai alternatyva lieka uždaryta
Pasiekiamumo apribojimas privačiais administraciniais klausytojais yra teisėtas svetainės VPN pakaitalas, jei apribojimas vykdomas, o ne tik nubrėžtas. Įprasta nesėkmė – alternatyvus klausytojas, kurio niekas neprisiminė: paslauga, vis dar susieta su visomis sąsajomis, saugos grupės taisyklė, atidaryta rangovui, valdymo prievadas, pasiekiamas iš interneto.
Tikrinkite klausytojus, o ne diagramas. Hoste išvardykite, kas iš tikrųjų susieta, naudodami ss -ltnp, ir patvirtinkite, kad administraciniai prievadai yra privačiame adrese. Debesijos konsolėje perskaitykite darbo krūvio poaibio įeinančias taisykles ir ieškokite 0.0.0.0/0 bet kuriame administraciniame elemente. Tada pabandykite ryšį iš už privačiojo kelio, nes būtent šis testas atsako į klausimą.
Viena pasaulio mastu atvira taisyklė SSH atmeta visus tunelio dizaino argumentus.
Parašykite žemėlapį prieš lygindami dizainus
Kiekvienai inventorizacijos eilutei užrašykite, kas tvirtina tapatybes, kas atnaujina prieigos taisykles, kas pašalina kredencialus, kai kas nors išeina, ir kas rūpinasi atkūrimu, kai pats kelias sugenda. Keturi vardai eilutėje pakanka atskleisti eilutes, kuriose atsakymas yra bendra paskyra ir prieš trejus metus rašytas wiki puslapis.
Tada patikrinkite po vieną leidimą ir vieną draudimą kiekvienam kanalui. Leidimas įrodo, kad numatyta tapatybė gali pasiekti išteklių numatytu keliu. Draudimas įrodo, kad panaši tapatybė negali, ir būtent šį testą žmonės praleidžia, todėl alternatyvūs klausytojai išgyvena auditus. Palyginkite siūlomą dizainą su šiais rezultatais, o ne su programėlės TLS konfigūracija, kuri niekada neišbandė nė vieno jų.
Kur svetainės VPN vis dar užsitarnauja savo vietą
Tunelis ar siauri vartai yra teisingas atsakymas, kai išteklius neturi savo autentifikavimo kiekvienai užklausai: duomenų bazių priežiūros prievadai, atsarginių kopijų paskirtys, hipervizoriaus konsolės, už juostos ribų esantis valdymas. Tie klausytojai pasitiki tinklu, todėl tinklas turi būti tas, kuris autentifikuoja skambintoją.
Tai ne vienintelis atsakymas. Vartai, kurie užbaigia kiekvieno ištekliaus autorizaciją, gali būti siauresni už viso poaibio tunelį ir palieka geresnį audito pėdsaką nei bendras šuolio hostas.
Darbo tvarka: užbaikite inventorizaciją, uždarykite alternatyvas, patikrinkite po vieną draudimą eilutei ir tik tada atsisakykite tunelio. Jei eilutė negali sukurti draudimo, laikykite privatų kelią, kol galės.