Аюулгүй байдлын туршилтын хандалтын шилжүүлэг: хамрах хүрээ, бүртгэл, цуцлалт
VPN итгэмжлэл хүссэн туршигчид хамрах хүрээтэй шилжүүлэг хэрэгтэй, нэмэлт нэвтрэлт биш. Зөвшөөрлийг хаалгаар нэвтрүүлж, зорилтуудыг нэрлэж, бүртгэл олгож, дараа нь цуцал.
Нэг туршигч гарцын хаяг, дотоод DNS-ийн мэдээлэл, VPN итгэмжлэл хүсэж, хүсэлт танд «хандалт хэрэгтэй» гэсэн гарчгаар ирдэг. Хүсэлт өөрөө энэ нь дотоод үнэлгээ, баталгаажуулалттай аппликейшн туршилт эсвэл хамрах хүрээг хэн нэгэн буруу ойлгосон нийтийн вэбсайтын ажил мөн эсэхийг хэлэхгүй. Шилжүүлэгийг алхам бүрт хаалгатай дараалал хэлбэрээр гүйцэтгэж, нээгдэхгүй эхний хаалганд зогс. Энэ нь бүрхэг хүсэлтийг таны зөвшөөрч, шилжүүлж, дараа нь цуцалж болох зүйл болгоно.
Итгэмжлэлээр биш, зөвшөөрлөөр эхэл
Аль ч хаяг таны шуудангаас гарахаас өмнө зорилтууд хэнд хамаарах, тэдгээрт туршилтыг хэн зөвшөөрч болохыг тогтоо. Туршигчийг байгууллага тань аль хэдийн ашигладаг ажлын холбоо барих хаягаар баталгаажуул, имэйлийг дамжуулсан хүнээр биш. Харилцагчтай харилцаа нь бүртгэлээс хүрч болох бүх системийг туршиж болох зөвшөөрөл биш, худалдан авалтын захиалга нь хамрах хүрээний баримт бичиг биш.
Зөвшөөрөгдсөн зорилтыг нэг өгүүлбэрээр бичиж, шилжүүлгийн хажууд хадгал. «Харилцагчийн порталын баталгаажуулалтыг үнэл» ба «дотоод сүлжээг үнэл» нь огт өөр багц руу хөтөлдөг бөгөөд ялгааг бэлтгэлээс өмнө шийдэх ёстой, илрүүлэлт ирсний дараа биш. Өгүүлбэр нь ажлын дунд хүсэлт өсөхөд зааж болох зүйлийг ч өгдөг.
Хэрэв замд хостингийн үйлчилгээ үзүүлэгч эсвэл өөр гуравдагч тал байвал тэдний шаардлага таны тав тухыг бодвол түрүүнд ирнэ. Бусдын дэд бүтцийг зөвшөөрөлгүйгээр турших нь түүн дээр ажилладаг аппликейшныг туршихаас тусдаа асуудал.
Үзэл бодол ба зорилтуудыг нэрлэ
Үзэл бодол бол үнэлгээ хариулахыг оролдож буй асуулт бөгөөд туршигчийн ашиглахаар төлөвлөж буй аливаа хэрэгслээс илүү хандалтын багцыг тодорхойлно. Нийтийн баталгаажуулалтгүй туршилтад URL ба цагийн цонх хэрэгтэй. Баталгаажуулалттай туршилтад хамрах хүрээний тодорхой үүргүүдэд зориулсан тусгай бүртгэл хэрэгтэй, дотоод үнэлгээнд тодорхой зорилтын мужтай тодорхойлогдсон нэвтрэх цэг хэрэгтэй.
| Viewpoint | What you hand over | What it does not authorize |
|---|---|---|
| Public website | Approved URL, TLS hostname, testing window | Internal network entry, adjacent hosts |
| Authenticated app | URL plus per-role test accounts | Other tenants, admin consoles outside scope |
| Private staging | Named private path and test accounts | Production systems behind the same gateway |
| Internal network | Entry point and written target ranges | Anything outside those ranges, including the gateway itself |
Туннель хаанаас ордог нь түүний ард аль аппликейшн байгаа гэсэн баримт биш бөгөөд энэ нь нэвтрэх цэгийг судлахыг огт зөвшөөрөхгүй. Үүнийг шилжүүлэгт тодорхой хэл, учир нь «чи надад тэр дэд сүлжээнд хандалт өгсөн» гэсэн өгүүлбэр илрүүлэлт маргаан болмогц хурдан ирдэг. Бичгээр гаргасан зорилтын жагсаалт л үүнийг дараа нь шийднэ.
URL-ийн хамт TLS хостын нэрийг өг. Нүцгэн IP хаяг туршигчийг нэрийг таамаглахад хүргэдэг, таамагласан нэр нь шилжүүлгийн алдаа биш, илрүүлэлт гэж мэдээлэгддэг гэрчилгээний алдаа үүсгэдэг.
Хугацаатай тусгай таних тэмдэг олго
Зөвхөн энэ ажилд оршин байх бүртгэл бэлтгэ; ажилтны өдөр тутмын нэвтрэлтийг зээлүүлж болохгүй. Сүлжээний хүртээмж, аппликейшны зөвшөөрлийг тохирсон ажлуудад тохируулж, баталгаажуулалтын бүртгэлийг дэмжигдсэн замаар зохион байгуул, мөн цуцлалтын хариуцлагатай нэрлэсэн хүнтэй хугацааны огноог хавсарга. Итгэмжлэлийг тохирсон аюулгүй сувгаар, эргэн тойронд дамжуулагддаг хамрах хүрээний баримт бичгээс тусдаа шилжүүл.
sudo useradd -m -e 2026-12-31 tester01 sudo passwd -S tester01 id tester01 lastlog -u tester01
Хэн юу, хэзээ хүлээж авсныг бүртгэ. Энэ бүртгэл нь хяналттай шилжүүлэг ба хэн ч мөрдөж чадахгүй хуваалцсан нууц үгийн ялгаа бөгөөд ослын дараа хүн бүрийн хамгийн түрүүнд асуудаг зүйл юм. Үүнийг чатын урсгалд биш, хамрах хүрээний баримт бичгийн хамт хадгал, хүлээн авагчийн хажууд хүргэх сувгийг тэмдэглэ. Цаг тэмдэглэсэн мөр санамсарыг үргэлж дийлдэг.
Хугацааны талбар бол сүүлчийн хамгаалалт, төлөвлөгөө биш. Төгсгөлд хэн нэгэн сүлжээний замыг, аппликейшны үүргийг заавал хасна, учир нь одоо ч хүрч болох сүлжээнд хугацаа дууссан нэвтрэлт нь цуцлагдсан хандалт биш.
Цонх нээгдэхээс өмнө шилжүүлэг ажиллаж байгааг нотол
Туршигчийн эхний үсрэлтийг өөрөө хий, түүний байрлалд аль болох ойрхон газраас. Нэрийг шийдэж, гэрчилгээний таних тэмдгийг шалгаж, зам хөрш рүү биш, зорьсон хаяг руу хүрч байгааг батал.
dig +short app.example.com openssl s_client -connect app.example.com:443 -servername app.example.com </dev/null> 2>/dev/null | openssl x509 -noout -subject -dates ip route get 10.60.0.25
Хэрэв зам зорилтод хүрч чадахгүй бол зогсоод шилжүүлэгийг зохицуул, туршигчид өөр маршрут олдохыг зөвшөөрөхгүй. Аяндаа үүссэн хүртээмж бол үнэлгээ өөрийн хамрах хүрээнээс чимээгүй гарч өсөх зам бөгөөд үүнийг дараа нь бараг хэзээ ч баримтжуулдаггүй.
Итгэмжлэлийн хамт үйл ажиллагааны холбоо барих хаяг, зөвшөөрөгдсөн цаг, хасагдсан үйлдэл, зогсоох нөхцлийг илгээ. 02:00 цагт хэнд ч хүрч чадахгүй туршигч таны зөвшөөрөөгүй шийдвэр гаргах бөгөөд тэр шийдвэрийг тайланд хамрах хүрээний дотор байсан мэт дүрсэлнэ.
NIST SP 800-115 техникийн үнэлгээг төлөвлөсөн туршилт, дараа нь дүн шинжилгээ, бууралт гэж хүрээлдэг бөгөөд энэ шилжүүлэг яг тэр хэлбэрийг дагадаг. Дээрх хаалганууд нь дэмжлэгийн инженерт зориулсан редакцийн дизайны шийдвэр, тэр хэвлэлээс иш татсан шалгах хуудас биш.
Хандалтыг арилгаж ажлыг хаа
Бэлтгэлийн эсрэг дарааллаар цуцал: аппликейшны үүрэг, дараа нь сүлжээний хандалт, дараа нь таних тэмдэг өөрөө. Товч амласныг консол хийсэн гэж таамаглахын оронд алхам бүрийг батал. Сессүүдийг нь алахын өмнө бүртгэлийг түгжиж, эс бөгөөс сесс хуучин замаар дахин баталгаажина. Дараа нь хаагдсан гэж зарлахаас өмнө тогтоосон холболтуудыг дахин нэг шалга.
sudo passwd -l tester01 sudo pkill -u tester01 ss -tn state established '( sport = :443 )'
Хадгалсан туршилтын өгөгдлийг шийдвэрлэж, дараа нь эхэнд тохирсон тайлагналын процесоор засварыг хяна. Тайланд орчин, хандалтын түвшин, хамрах хүрээ, хязгаарлалтыг дурдах ёстой, учир нь энэ нь нэг үнэлгээний илрүүлэлтийг бүртгэдэг бөгөөд сайт аюулгүй гэсэн байнгын мэдэгдэл биш.
Цуцлалтын бүртгэлийг шилжүүлгийн бүртгэлийн хамт хадгал. Дараагийн ажил нээгдэхэд өнгөрсөн удаа яг юу хасагдсан, хэн зөвшөөрснийг мэдэхийг хүснэ, санамсаас зургийг дахин бүтээхийг биш.