Pieņemšanas pārbaudes virtuālai VPN vārtejai ar divfaktoru autentifikāciju
Pierādiet vārteju posmu pa posmam: reģistrācija, pieteikšanās, atteikums, atsaukšana un atjaunošana, katrs ar artefaktu un pirms testa uzrakstītu izpildes nosacījumu.
Piegādātāji šo ierīci raksturo kā virtuālu un spējīgu divfaktoru autentifikāciju, un neviens no šiem vārdiem neatbild uz jautājumiem, kas nosaka pirkumu. Kāds hipervizora attēls tiek atbalstīts, kuri klienti var reģistrēties, ko otrais faktors patiešām pierāda un kas notiek, kad identitātes nodrošinātājs pārstāj darboties, joprojām ir atvērts. Pārvērtiet tos pieņemšanas posmos, ko varat izpildīt mēģinājumā, un lēmums pārstās būt atkarīgs no tā, cik pārliecinoša ir datu lapa. Zemāk esošā lapa ir šo pierādījumu struktūra, nevis produktu reitings.
Kas piegādātājam jāapstiprina par šo izvietošanu
Sāciet ar izvietošanas saspiešanu vienā lapā: hipervizors vai mākonis, viesa arhitektūra, atbalstītais attēls un saskarnes, ko ierīce sagaida. Pievienojiet lietotājus ar viņu operētājsistēmām, vai ierīces tiek pārvaldītas, un kā jādarbojas reģistrācijai un pieteikšanās. Pēc tam privātā piekļuve: lietojumprogrammas un prefiksi, DNS izkārtojums, atgriešanās ceļi un vai publiska interneta izeja ir piedāvājuma daļa.
Ekspluatācija pieder tai pašai lapai: kas uztur ierīci, no kurienes nāk atjauninājumi, kur nonāk žurnāli, kā tiek aizsargāta konfigurācija un kādu atjaunošanas mērķi uzņēmums patiešām ir saskaņojis. Lūdziet piegādātājam apstiprināt tieši šo kombināciju, nevis to, ka programmatūra darbojas virtuālajā mašīnā. Turiet redzamas ārējās atkarības, piemēram, identitātes nodrošinātāju vai licencēšanas pakalpojumu, jo tās ir izvietošanas daļa neatkarīgi no tā, vai tās piegādā kopā ar to. Izvietošanas lapa bez nosauktas atkarības parasti ir izvietošanas lapa ar nezināmu atkarību.
Pierādiet, ka otrais faktors ir otrais faktors
Nosauciet autentifikatoru un verifikācijas plūsmu un sakiet, kādu identitāti nosaka katrs solis. Divi pēc kārtas paroles pieprasījumi nav otrais faktors, un parole kopā ar vienreizēju kodu ir cits apgalvojums nekā ar pakalpojumu saistīts kriptogrāfisks autentifikators. Pierakstiet plūsmu, ko pērkat, nevis etiķeti uz kastes.
Izturība pret pikšķerēšanu ir atsevišķa īpašība, un NIST autentifikatoru vadlīnijas to traktē tieši tā: kods, kuru lietotāju var pierunāt pārsūtīt, joprojām atbilst daudzfaktoru autentifikācijai, bet neizpilda šo papildu nosacījumu. Pieprasiet īpašību skaidri, ja tā jums ir svarīga. Pēc tam pieprasiet demonstrāciju ar to klienta tipu, ko jūsu lietotāji patiešām lieto, aptverot reģistrāciju, noraidītu vai beigušos izaicinājumu, atjaunošanu pēc zaudēta autentifikatora un viena lietotāja atsaukšanu, kamēr citi paliek savienoti. Turiet vārtejas identitātes pārbaudi tvērumā, jo klients, kas uzticas jebkurai vārtejai, problēmu ir pārcēlis, nevis atrisinājis.
Uzrakstiet izpildes nosacījumu, pirms kaut ko salaužat
Zemāk esošā tabula ir tā lapas daļa, kas iztur saskari ar piegādātāju, jo katra rinda prasa artefaktu, nevis garantiju. Aizpildiet izpildes nosacījumu pirms mēģinājuma un rindu bez pierādījumiem uzskatiet par neizdevušos rindu. Pieci posmi aptver to, kas vārtejai jādara.
| Acceptance stage | Evidence to keep | Pass condition |
|---|---|---|
| Enrolment | Enrolment record with the device type and the identity used | A new device enrols once, and nobody else can enrol it afterwards |
| Sign-in with the second factor | Session record naming both factors and the gateway identity that was checked | The session carries the expected identity and the gateway certificate validated |
| Denial of an unapproved destination | Log line from the control that refused the flow, with the policy name | The flow is refused and the refusal is attributable to one control |
| Revocation of one user | Revocation timestamp and the sessions that survived it | The named user is out and unaffected users keep working |
| Restore from configuration backup | Restored version plus a probe of a revoked identity | The revision matches the backup and revoked identities stay revoked |
Reģistrācija ir pirmā, jo no tās ir atkarīgs viss turpmākais: ierīci, kas nevar reģistrēties, nevar pārbaudīt. Pieteikšanās ir atsevišķs posms no reģistrācijas, un atteikums ir posms, ko vairums lapu aizmirst, jo vārteja, kas ielaiž visus, nav pierādījusi, ka kādam atsaka. Atsaukšana un atjaunošana nes lielāko daļu ekspluatācijas riska, un abas ir lēti trenējamas kopijā.
Trenējieties kopijā, nevis dzīvajā vārtejā
Veiciet traucējošos posmus platformas kopijā, ievērojot atbalstīto izvietošanas procedūru, un glabājiet katru pierādījumu ar tā datumu un konfigurācijas versiju. Restartēšanas rindai neatbild ar restartu no konsoles, un atjaunošanas rindai neatbild ar konfigurācijas eksportu. Atzīmējiet, kurš stāvoklis atgriežas pats un kas jāpievieno no jauna, jo tieši šo atšķirību pārmanto ekspluatācijas komanda. Mēģinājums ir arī vienīgā iespēja izmērīt atjaunošanu, nepaskaidrojot pārtraukumu.
Fiksējiet identitātes nodrošinātāja stāvokli katra testa brīdī, jo pārtraukuma rinda, kas pārbaudīta pret veselu nodrošinātāju, pierāda pretējo tam, ko apgalvo lapa. Divi recenzenti vienā mēģinājumā pamanīs dažādas lietas, un otrais parasti atrod rindu, kuras pierādījums ir informācijas paneļa ekrānuzņēmums. Turiet šo pierādījumu pievienotu tai rindai, pie kuras tas pieder, nevis mapē, kas nosaukta projekta vārdā.
Izmēriet darba slodzi, ko veiks jūsu komanda
Vienojieties par slodzi, kas līdzinās parastai nedēļai, un pēc tam izmēriet to tur, kur plānojat izvietot: vienlaicība, trafika sajaukums un apkalpošanas logs, kas komandai patiešām ir. Reklamētais caurlaidspējas skaitlis raksturo laboratorijas apstākļus un neko nepasaka par jūsu lietotājiem. Mēriet atjaunošanu pret atjaunošanas mērķi, nevis pret plānu.
Lapa ir pabeigta, kad katram posmam ir artefakts un katram artefaktam ir datums. Ierīce, ko kāds uztur, ar pierādījumu katrai rindai, ir cits pirkums nekā garākais atzīmēto rūtiņu saraksts.