Vai jums vēl vajadzīgs vietnes VPN, ja lietotne izmanto mTLS un SSO?
Izejiet cauri kanāliem, ko lietotnes pieteikšanās nekad neaptver, pēc tam izlemiet, vai piekļuve privātajam tīklam ir lieka vai joprojām vienīgais ceļš uz resursdatoru.
Jūs piesakāties ar mTLS, informācijas panelis ielādējas, un apgalvojums, ka vietnes VPN tagad ir lieks, izklausās pamatoti apmēram tik ilgi, līdz divos naktī jums vajag atjaunot datubāzi. Lietotnes TLS robeža apraksta tikai vienu kanālu. Resursdatoram, datubāzei, dublējumu mērķim un mākoņa kontam katram ir savs ievades ceļš, sava identitāte un savs apstiprinātājs, un neviens no tiem netiek pārbaudīts ar veiksmīgu pieteikšanos.
Dodieties uz āru no pieteikšanās ekrāna
Piesakieties kā parasts lietotājs un pierakstiet katru soli, kuru skar pieprasījums: pārlūkprogramma, mala, lietotnes klausītājs, sesiju krātuve, backend API. Katram solim ir īpašnieks un autentifikācijas lēmums. Tagad atkārtojiet gājienu cilvēkam, kurš labo resursdatoru, un darbam, kas raksta nakts dublējumu. Šie ceļi parasti atšķiras jau pirmajā solī.
Šī atšķiršanās ir jautājums, uz kuru ir vērts atbildēt. Vietnes VPN ir lieks tikai tad, ja katram otrā gājiena kanālam ir patstāvīga ievades un autorizācijas politika.
Pieci kanāli, ko lietotnes pieteikšanās nekad neaptver
Zemāk esošā tabula ir inventarizācijas veidne, nevis izvietošanas kontrolsaraksts. Aizpildiet otro kolonnu ar to, ko jūsu vide šodien patiešām ievieš.
| Channel | Access decision to identify |
|---|---|
| Application API | Accepted TLS peer, application identity, permitted operations |
| Operating-system administration | Approved entry path, administrative identity, host permissions |
| Database maintenance | Database identity, protected connection, authorized maintenance role |
| Backup and restore | Service identity, allowed source, access to stored copies |
| Cloud control plane | Account and role permissions governing infrastructure changes |
Viena identitātes pakalpojumu sniedzēja koplietošana šīs autorizācijas neapvieno. Lietotājs, kuram atļauts sūtīt API pieprasījumu, ar to nav tiesīgs nomainīt VM disku vai atjaunot datubāzi ar lietotnes akreditācijas datiem. NIST nulles uzticēšanās arhitektūras kopsavilkumā tieši šī iemesla dēļ tur resursu autentifikāciju un autorizāciju atsevišķi no tīkla atrašanās vietas.
Atbalsta inženieris, kurš prot nolasīt pieteikumu, ar to nav tiesīgs atvērt konsoli resursdatorā aiz tā.
Ceļš ir īsts tikai tad, ja alternatīva paliek slēgta
Sasniedzamības ierobežošana ar privātiem administratīviem klausītājiem ir likumīgs vietnes VPN aizstājējs, ja ierobežojums tiek ieviests, nevis tikai uzzīmēts. Parastā kļūme ir alternatīvs klausītājs, ko neviens nav atcerējies: pakalpojums, kas joprojām piesaistīts visām saskarnēm, drošības grupas noteikums, kas atvērts darbuzņēmējam, pārvaldības ports, kas sasniedzams no interneta.
Pārbaudiet klausītājus, nevis diagrammas. Resursdatorā uzskaitiet, kas patiešām ir piesaistīts, izmantojot ss -ltnp, un apstipriniet, ka administratīvie porti atrodas privātā adresē. Mākoņa konsolē izlasiet darba slodzes apakštīkla ienākošos noteikumus un meklējiet 0.0.0.0/0 jebkurā administratīvā elementā. Pēc tam izmēģiniet savienojumu no ārpuses privātajam ceļam, jo tieši šis tests atbild uz jautājumu.
Viens visai pasaulei atvērts noteikums SSH atceļ visus tuneļa dizaina argumentus.
Uzzīmējiet karti pirms dizainu salīdzināšanas
Katrai inventarizācijas rindai pierakstiet, kas apstiprina identitātes, kas atjaunina piekļuves noteikumus, kas noņem akreditācijas datus, kad kāds aiziet, un kas rūpējas par atjaunošanu, kad pats ceļš salūzt. Četri vārdi rindā ir pietiekami, lai atklātu rindas, kur atbilde ir kopīgs konts un pirms trim gadiem rakstīta wiki lapa.
Pēc tam pārbaudiet vienu atļauju un vienu atteikumu katram kanālam. Atļauja pierāda, ka paredzētā identitāte var sasniegt resursu paredzētajā ceļā. Atteikums pierāda, ka līdzīga identitāte to nevar, un tieši šo testu cilvēki izlaiž, tāpēc alternatīvie klausītāji izdzīvo auditos. Salīdziniet piedāvāto dizainu ar šiem rezultātiem, nevis ar lietotnes TLS konfigurāciju, kas nekad nav pārbaudījusi nevienu no tiem.
Kur vietnes VPN vēl joprojām nopelna savu vietu
Tunelis vai šauri vārti ir pareizā atbilde, ja resursam nav savas autentifikācijas katram pieprasījumam: datubāzu apkopes porti, dublējumu mērķi, hipervizora konsoles, ārpusjoslas pārvaldība. Šie klausītāji uzticas tīklam, tāpēc tīklam ir jābūt tam, kas autentificē zvanītāju.
Tā nav vienīgā atbilde. Vārti, kas pabeidz katram resursam paredzēto autorizāciju, var būt šaurāki par visa apakštīkla tuneli un atstāj labāku audita pēdu nekā kopīgs lēciena resursdators.
Darbu secība: pabeidziet inventarizāciju, aizveriet alternatīvas, pārbaudiet vienu atteikumu katrai rindai un tikai pēc tam atsakieties no tuneļa. Ja rinda nevar radīt atteikumu, saglabājiet privāto ceļu, līdz tā var.