Adakah anda masih perlukan VPN tapak apabila aplikasi menggunakan mTLS dan SSO?
Jelajahi saluran yang tidak pernah diliputi oleh log masuk aplikasi anda, kemudian tentukan sama ada akses rangkaian persendirian berlebihan atau masih satu-satunya laluan ke hos.
Anda log masuk melalui mTLS, papan pemuka dimuatkan, dan dakwaan bahawa VPN tapak kini berlebihan kedengaran munasabah kira-kira selama masa yang diambil sehingga anda perlu memulihkan pangkalan data pada pukul dua pagi. Sempadan TLS aplikasi hanya menerangkan satu saluran. Hos, pangkalan data, sasaran sandaran dan akaun awan masing-masing membawa laluan masuk, identiti dan penyetuju sendiri, dan tiada satu pun daripadanya diuji oleh log masuk yang berjaya.
Berjalan keluar dari skrin log masuk
Log masuk seperti pengguna biasa dan catat setiap hop yang disentuh oleh permintaan: pelayar, tepi, pendengar aplikasi, stor sesi, API backend. Setiap hop mempunyai pemilik dan keputusan pengesahan. Kini ulangi penjelajahan untuk orang yang menampal hos, dan untuk tugas yang menulis sandaran malam. Penjelajahan itu biasanya berbeza pada hop pertama.
Perbezaan itulah soalan yang wajar dijawab. VPN tapak hanya berlebihan apabila setiap saluran dalam penjelajahan kedua itu mempunyai dasar masuk dan kebenaran yang berdiri sendiri.
Lima saluran yang tidak pernah diliputi oleh log masuk aplikasi
Jadual di bawah ialah templat inventori, bukan senarai semak penggunaan. Isi lajur kedua dengan apa yang sebenarnya dikuatkuasakan oleh persekitaran anda hari ini.
| Channel | Access decision to identify |
|---|---|
| Application API | Accepted TLS peer, application identity, permitted operations |
| Operating-system administration | Approved entry path, administrative identity, host permissions |
| Database maintenance | Database identity, protected connection, authorized maintenance role |
| Backup and restore | Service identity, allowed source, access to stored copies |
| Cloud control plane | Account and role permissions governing infrastructure changes |
Perkongsian satu penyedia identiti tidak menggabungkan kebenaran ini. Pengguna yang boleh menghantar permintaan API tidak dengan itu dibenarkan menggantikan cakera VM atau memulihkan pangkalan data dengan kelayakan aplikasi. NIST dalam ringkasan seni bina kepercayaan sifar mengekalkan pengesahan dan kebenaran sumber secara berasingan daripada lokasi rangkaian tepat kerana sebab ini.
Jurutera sokongan yang boleh membaca tiket tidak dengan itu dibenarkan membuka konsol pada hos di belakangnya.
Laluan hanya nyata jika alternatif kekal tertutup
Menghadkan capaian kepada pendengar pentadbiran persendirian ialah pengganti sah bagi VPN tapak, dengan syarat had itu dikuatkuasakan dan bukan sekadar dilukis. Kegagalan biasa ialah pendengar alternatif yang tiada siapa ingat: perkhidmatan yang masih terikat pada semua antara muka, peraturan kumpulan keselamatan yang dibuka untuk kontraktor, port pengurusan yang boleh dicapai dari internet.
Periksa pendengar, bukan gambar rajah. Pada hos, senaraikan apa yang benar-benar terikat dengan ss -ltnp dan sahkan bahawa port pentadbiran berada pada alamat persendirian. Dalam konsol awan, baca peraturan masuk untuk subnet beban kerja dan cari 0.0.0.0/0 pada apa-apa yang pentadbiran. Kemudian cuba sambungan dari luar laluan persendirian, kerana ujian itulah yang menjawab soalan.
Satu peraturan terbuka kepada dunia pada SSH membatalkan setiap hujah yang dibuat oleh reka bentuk terowong.
Tulis peta sebelum membandingkan reka bentuk
Untuk setiap baris inventori, catat siapa yang meluluskan identiti, siapa yang mengemas kini peraturan akses, siapa yang membuang kelayakan apabila seseorang pergi, dan siapa yang mengendalikan pemulihan apabila laluan itu sendiri rosak. Empat nama setiap baris cukup untuk mendedahkan baris yang jawapannya ialah akaun dikongsi dan halaman wiki berusia tiga tahun.
Kemudian sahkan satu kebenaran dan satu penafian bagi setiap saluran. Kebenaran membuktikan bahawa identiti yang dimaksudkan boleh mencapai sumber melalui laluan yang dimaksudkan. Penafian membuktikan bahawa identiti serupa tidak boleh, dan itulah ujian yang orang langkau, sebab itulah pendengar alternatif terselamat daripada audit. Bandingkan reka bentuk yang dicadangkan dengan hasil ini, bukan dengan konfigurasi TLS aplikasi, yang tidak pernah menguji mana-mana daripadanya.
Di mana VPN tapak masih berbaloi dipertahankan
Terowong atau pintu sempit ialah jawapan yang betul apabila sumber tidak mempunyai pengesahan sendiri bagi setiap permintaan: port penyelenggaraan pangkalan data, sasaran sandaran, konsol hipervisor, pengurusan di luar jalur. Pendengar itu mempercayai rangkaian, jadi rangkaian mesti menjadi yang mengesahkan pemanggil.
Ia bukan satu-satunya jawapan. Pintu yang menamatkan kebenaran bagi setiap sumber boleh lebih sempit daripada terowong seluruh subnet dan meninggalkan jejak audit yang lebih baik daripada hos lompat yang dikongsi.
Urutan kerja: lengkapkan inventori, tutup alternatif, sahkan satu penafian setiap baris, dan hanya selepas itu hentikan terowong. Jika sesuatu baris tidak dapat menghasilkan penafian, kekalkan laluan persendirian sehingga ia boleh.