Апп mTLS болон SSO ашиглаж байгаа бол сайтын VPN танд хэрэгтэй хэвээр үү?
Аппын нэвтрэлт хэзээ ч хамрахгүй сувгуудыг дайрч, дараа нь хувийн сүлжээний хандалт илүүдэл үү эсвэл хост руу хүрэх цорын ганц зам хэвээр байна уу гэдгийг шийдээрэй.
Та mTLS-ээр нэвтэрч, хяналтын самбар ачаалагдана, сайтын VPN одоо илүүдэл гэсэн мэдэгдэл шөнийн хоёр цагт өгөгдлийн санг сэргээх шаардлага гарах хүртэл л үндэслэлтэй сонсогддог. Аппын TLS хил зөвхөн нэг сувгийг дүрсэлдэг. Хост, өгөгдлийн сан, нөөц хуулбарын зорилт, үүлэн бүртгэл тус бүр өөрийн орох зам, өөрийн таних тэмдэг, өөрийн зөвшөөрөгчийг авч явдаг бөгөөд тэдгээрийн аль нь ч амжилттай нэвтрэлтээр шалгагддаггүй.
Нэвтрэх дэлгэцээс гадагш алхаарай
Энгийн хэрэглэгчийн адил нэвтэрч, хүсэлт хүрэх алхам бүрийг бичээрэй: хөтөч, ирмэг, аппын сонсогч, сессийн агуулах, backend API. Алхам бүр эзэн болон нэвтрүүлэлтийн шийдвэртэй. Одоо хостод нөхөөс тавьдаг хүний хувьд, шөнийн нөөц хуулбар бичдэг ажлын хувьд энэ алхалтыг давтаарай. Тэдгээр зам ихэвчлэн эхний алхам дээр л салдаг.
Тэр салалт нь хариулах үнэ цэнэтэй асуулт юм. Сайтын VPN нь хоёр дахь алхалтын суваг бүр өөрөө бие даасан орох болон зөвшөөрлийн бодлоготой үед л илүүдэл болно.
Аппын нэвтрэлт хэзээ ч хамрахгүй таван суваг
Доорх хүснэгт нь бүртгэлийн загвар, байршуулалтын шалгах хуудас биш. Хоёр дахь баганыг таны орчин өнөөдөр бодитоор хэрэгжүүлж байгаагаар дүүргээрэй.
| Channel | Access decision to identify |
|---|---|
| Application API | Accepted TLS peer, application identity, permitted operations |
| Operating-system administration | Approved entry path, administrative identity, host permissions |
| Database maintenance | Database identity, protected connection, authorized maintenance role |
| Backup and restore | Service identity, allowed source, access to stored copies |
| Cloud control plane | Account and role permissions governing infrastructure changes |
Нэг таних тэмдгийн нийлүүлэгчийг хуваалцах нь эдгээр зөвшөөрлийг нэгтгэдэггүй. API хүсэлт илгээх эрхтэй хэрэглэгч үүгээр VM диск сольж эсвэл аппын итгэмжлэлээр өгөгдлийн санг сэргээх эрхгүй. NIST тэг итгэлцлийн архитектурын хураангуйд яг энэ шалтгаанаар нөөцийн нэвтрүүлэлт болон зөвшөөрлийг сүлжээний байршлаас тусдаа байлгадаг.
Тикет уншиж чаддаг дэмжлэгийн инженер үүгээр түүний ардах хост дээр консол нээх эрхгүй.
Зам нь зөвхөн өөр хувилбар хаалттай үед л бодит
Хүртээмжийг хувийн захиргааны сонсогчдод хязгаарлах нь сайтын VPN-ийн хууль ёсны орлуулалт боловч хязгаарлалтыг хэрэгжүүлэх ёстой, зөвхөн зурах ёсгүй. Ердийн бүтэлгүйтэл бол хэн ч санаагүй өөр сонсогч юм: бүх интерфейстэй холбоотой хэвээр байгаа үйлчилгээ, гэрээлэгчид нээсэн аюулгүй байдлын бүлгийн дүрэм, интернэтээс хүрэх боломжтой удирдлагын порт.
Диаграм биш, сонсогчдыг шалгаарай. Хост дээр ss -ltnp ашиглан бодитоор юу холбогдсоныг жагсааж, захиргааны портууд хувийн хаяг дээр байгааг баталгаажуулаарай. Үүлэн консол дээр ажлын ачааллын дэд сүлжээний орох дүрмийг уншиж, захиргааны аливаа зүйл дээр 0.0.0.0/0 байгаа эсэхийг хайгаарай. Дараа нь хувийн замаас гаднаас холболтыг туршаарай, учир нь асуултад хариулдаг нь тэр шалгалт юм.
SSH дээр дэлхий дахинд нээлттэй нэг дүрэм туннелийн дизайны бүх үндэслэлийг хүчингүй болгоно.
Дизайнуудыг харьцуулахын өмнө газрын зургийг бичээрэй
Бүртгэлийн мөр бүрд хэн таних тэмдгийг зөвшөөрдөг, хэн хандалтын дүрмийг шинэчилдэг, хэн явах үед итгэмжлэлийг устгадаг, зам өөрөө эвдрэх үед хэн сэргээлтийг хариуцдаг талаар бичээрэй. Мөр бүрд дөрвөн нэр хариулт нь хуваалцсан бүртгэл ба гурван жилийн өмнөх вики хуудас байдаг мөрүүдийг илрүүлэхэд хангалттай.
Дараа нь суваг бүрд нэг зөвшөөрөл, нэг татгалзлыг баталгаажуулаарай. Зөвшөөрөл нь зориулсан таних тэмдэг зориулсан замаар нөөцөд хүрч чадахыг нотолно. Татгалзал нь төстэй таних тэмдэг хүрч чадахгүйг нотолдог бөгөөд хүмүүсийн алгасдаг шалгалт нь энэ, тиймээс өөр сонсогчид аудитаас амьд гардаг. Санал болгож буй дизайныг эдгээр үр дүнтэй харьцуулаарай, аппын TLS тохиргоотой биш, учир нь тэр тэдгээрийн аль нэгийг ч шалгаж байгаагүй.
Сайтын VPN хаана өөрийн байр сууриа хараахан олж байна
Туннель эсвэл нарийн гарц нь нөөцөд хүсэлт бүрд өөрийн нэвтрүүлэлт байхгүй үед зөв хариулт: өгөгдлийн сангийн засвар үйлчилгээний портууд, нөөц хуулбарын зорилтууд, хайпервайзерын консолууд, зурвасаас гадуурх удирдлага. Тэдгээр сонсогчид сүлжээнд итгэдэг тул дуудагчийг нэвтрүүлэх нь сүлжээ байх ёстой.
Энэ бол цорын ганц хариулт биш. Нөөц бүрийн зөвшөөрлийг дуусгадаг гарц бүх дэд сүлжээний туннелиас нарийн байж болох бөгөөд хуваалцсан үсрэх хосттой харьцуулахад илүү сайн аудитын мөр үлдээдэг.
Ажлын дараалал: бүртгэлийг дуусгаж, өөр хувилбаруудыг хааж, мөр бүрд нэг татгалзлыг баталгаажуулж, дараа нь л туннелиас татгалзаарай. Хэрэв мөр татгалзал үүсгэж чадахгүй бол чадах хүртэл хувийн замыг хадгалаарай.