Приемни проверки за виртуелна VPN порта со двофакторна автентикација
Докажете ја портата етапа по етапа: запишување, најавување, одбивање, отповикување и враќање, секоја со артефакт и услов за успех напишан пред тестот.
Добавувачите го опишуваат овој уред како виртуелен и способен за два фактора, и ниту еден од тие зборови не одговара на прашањата што ја одлучуваат набавката. Кој образ на хипервизор е поддржан, кои клиенти можат да се запишат, што вториот фактор навистина докажува и што се случува кога давателот на идентитет паѓа, сѐ уште е отворено. Претворете ги во приемни етапи што можете да ги извршите на проба, и одлуката престанува да зависи од тоа колку е убедлив листот со податоци. Листот подолу е структура за тие докази, а не рангирање на производи.
Што треба добавувачот да потврди за ова распоредување
Започнете со тоа што распоредувањето ќе го соберете на една страница: хипервизорот или облакот, архитектурата на гостинот, поддржаниот образ и интерфејсите што уредот ги очекува. Додајте ги корисниците со нивните оперативни системи, дали уредите се управувани и како треба да работат запишувањето и најавувањето. Потоа приватниот пристап: апликации и префикси, распоред на DNS, повратни патеки и дали јавниот интернет излез е дел од понудата.
Операциите припаѓаат на истата страница: кој ја одржува кутијата, од каде доаѓаат ажурирањата, каде одат дневниците, како се штити конфигурацијата и кој цел за враќање бизнисот навистина го договорил. Побарајте од добавувачот да ја потврди точно таа комбинација, а не дека софтверот работи во виртуелна машина. Држете ги видливи надворешните зависности, како давател на идентитет или услуга за лиценцирање, зашто тие се дел од распоредувањето без оглед дали се испорачуваат со него. Страница за распоредување без именувана зависност обично е страница за распоредување со непозната зависност.
Докажете дека вториот фактор е втор фактор
Именувајте го автентикаторот и текот на проверка и кажете кој идентитет го воспоставува секој чекор. Два последователни барања за лозинка не се втор фактор, а лозинка плус еднократен код е различно тврдење од криптографски автентикатор врзан за услугата. Запишете го текот што го купувате, а не етикетата на кутијата.
Отпорноста на фишинг е посебно својство, и упатството на NIST за автентикатори го третира токму така: код што корисникот може да биде измамен да го проследи сѐ уште го задоволува повеќефакторското автентицирање, но не го исполнува тој дополнителен услов. Побарајте го својството експлицитно ако ви е важно. Потоа побарајте демонстрација од типот на клиент што вашите корисници навистина го користат, опфаќајќи запишување, одбиен или истечен предизвик, враќање по изгубен автентикатор и отповикување на еден корисник додека другите остануваат поврзани. Држете ја проверката на идентитетот на портата во опфатот, зашто клиент што верува на која било порта ја преместил проблемата наместо да ја реши.
Напишете го условот за успех пред да скршите нешто
Табелата подолу е делот од листот што го преживува контактот со добавувач, зашто секој ред бара артефакт наместо уверување. Пополнете го условот за успех пред пробата и третирајте ред без доказ како неуспешен ред. Пет етапи опфаќаат што треба да направи една порта.
| Acceptance stage | Evidence to keep | Pass condition |
|---|---|---|
| Enrolment | Enrolment record with the device type and the identity used | A new device enrols once, and nobody else can enrol it afterwards |
| Sign-in with the second factor | Session record naming both factors and the gateway identity that was checked | The session carries the expected identity and the gateway certificate validated |
| Denial of an unapproved destination | Log line from the control that refused the flow, with the policy name | The flow is refused and the refusal is attributable to one control |
| Revocation of one user | Revocation timestamp and the sessions that survived it | The named user is out and unaffected users keep working |
| Restore from configuration backup | Restored version plus a probe of a revoked identity | The revision matches the backup and revoked identities stay revoked |
Запишувањето е прво зашто сѐ понатаму зависи од него: уред што не може да се запише не може да се тестира. Најавувањето е посебна етапа од запишувањето, а одбивањето е етапата што повеќето листови ја забораваат, зашто порта што ги прима сите не докажала дека некому одбива. Отповикувањето и враќањето го носат најголемиот дел од оперативниот ризик, и двете се евтини за вежбање на копија.
Вежбајте на копијата, не на живата порта
Извршете ги нарушувачките етапи на копија од платформата, следејќи ја поддржаната постапка за распоредување, и чувајте го секој доказ со неговиот датум и верзија на конфигурацијата. Редот за рестартирање не се одговара со рестарт од конзолата, а редот за враќање не се одговара со извоз на конфигурацијата. Забележете кое состојба се враќа сама и што мора повторно да се поврзе, зашто токму таа разлика ја наследува оперативниот тим. Пробата е и единствената можност да се измери враќањето без објаснување на прекин.
Забележете ја состојбата на давателот на идентитет во моментот на секој тест, зашто ред за прекин тестиран против здрав давател докажува спротивно од она што го тврди листот. Двајца рецензенти на истата проба фаќаат различни работи, а вториот обично го наоѓа редот чиј доказ е слика од контролна табла. Држете го тој доказ прикачен на редот на кој му припаѓа, а не во папка наречена по проектот.
Измерете го работното оптоварување што ќе го извршува вашиот тим
Договорете оптоварување слично на нормална недела, па измерете го таму каде што планирате да распоредите: паралелност, мешавина на сообраќај и сервисниот прозорец што тимот навистина го има. Рекламираната бројка за пропусна моќ опишува лабораториски услов и не кажува ништо за вашите корисници. Измерете го враќањето спрема целта за враќање, а не спрема планот.
Листот е готов кога секоја етапа има артефакт и секој артефакт има датум. Уред што некој го одржува, со доказ за секој ред, е друга набавка од најдолгиот список со штиклирани полиња.