Semakan penerimaan untuk gateway VPN maya dengan pengesahan dua faktor
Buktikan gateway langkah demi langkah: pendaftaran, log masuk, penafian, pembatalan dan pemulihan, setiap satu dengan artifak dan syarat lulus yang ditulis sebelum ujian.
Vendor menggambarkan perkakas ini sebagai maya dan berkeupayaan dua faktor, dan tidak satu pun daripada kedua-dua perkataan itu menjawab soalan yang menentukan pembelian. Imej hypervisor mana yang disokong, klien mana yang boleh mendaftar, apa yang sebenarnya dibuktikan oleh faktor kedua, dan apa yang berlaku apabila pembekal identiti gagal kekal terbuka. Tukarkan semuanya kepada peringkat penerimaan yang boleh anda jalankan dalam latihan, dan keputusan berhenti bergantung pada betapa meyakinkannya helaian data itu. Helaian di bawah ialah struktur untuk bukti tersebut, bukan kedudukan produk.
Apa yang pembekal mesti sahkan tentang penggunaan ini
Mulakan dengan memadatkan penggunaan kepada satu halaman: hypervisor atau awan, seni bina tetamu, imej yang disokong dan antara muka yang dijangkakan oleh perkakas. Tambah pengguna dengan sistem pengendalian mereka, sama ada peranti diuruskan, dan cara pendaftaran serta log masuk sepatutnya berfungsi. Kemudian akses peribadi: aplikasi dan awalan, susunan DNS, laluan pulang, dan sama ada jalan keluar internet awam sebahagian daripada tawaran.
Operasi tergolong pada halaman yang sama: siapa yang menyelenggara kotak itu, dari mana kemas kini datang, ke mana log pergi, bagaimana konfigurasi dilindungi, dan sasaran pemulihan mana yang benar-benar dipersetujui oleh perniagaan. Minta pembekal mengesahkan gabungan tepat itu, bukan bahawa perisian berjalan dalam mesin maya. Kekalkan kebergantungan luaran seperti pembekal identiti atau perkhidmatan pelesenan kelihatan, kerana ia sebahagian daripada penggunaan sama ada dihantar bersamanya atau tidak. Halaman penggunaan tanpa kebergantungan bernama biasanya halaman penggunaan dengan kebergantungan yang tidak diketahui.
Buktikan bahawa faktor kedua ialah faktor kedua
Namakan pengesah dan aliran pengesahan, dan nyatakan identiti mana yang ditetapkan oleh setiap langkah. Dua permintaan kata laluan berturut-turut bukan faktor kedua, dan kata laluan serta kod sekali guna ialah dakwaan berbeza daripada pengesah kriptografi yang terikat pada perkhidmatan. Tulis aliran yang anda beli, bukan label pada kotak.
Rintangan phishing ialah sifat berasingan, dan panduan pengesah NIST menganggapnya begitu: kod yang boleh diperdaya pengguna untuk menyalurkannya masih memenuhi pengesahan berbilang faktor tetapi gagal pada syarat tambahan itu. Minta sifat itu secara eksplisit jika ia penting kepada anda. Kemudian tuntut demonstrasi daripada jenis klien yang benar-benar dijalankan oleh pengguna anda, meliputi pendaftaran, cabaran yang ditolak atau luput, pemulihan selepas pengesah hilang, dan pembatalan seorang pengguna sementara yang lain kekal bersambung. Kekalkan pengesahan identiti gateway dalam skop, kerana klien yang mempercayai mana-mana gateway telah memindahkan masalah itu bukan menyelesaikannya.
Tulis syarat lulus sebelum anda merosakkan apa-apa
Jadual di bawah ialah bahagian helaian yang bertahan apabila berhadapan dengan pembekal, kerana setiap baris meminta artifak dan bukan jaminan. Isi syarat lulus sebelum latihan, dan anggap baris tanpa bukti sebagai baris yang gagal. Lima peringkat merangkumi apa yang perlu dilakukan oleh gateway.
| Acceptance stage | Evidence to keep | Pass condition |
|---|---|---|
| Enrolment | Enrolment record with the device type and the identity used | A new device enrols once, and nobody else can enrol it afterwards |
| Sign-in with the second factor | Session record naming both factors and the gateway identity that was checked | The session carries the expected identity and the gateway certificate validated |
| Denial of an unapproved destination | Log line from the control that refused the flow, with the policy name | The flow is refused and the refusal is attributable to one control |
| Revocation of one user | Revocation timestamp and the sessions that survived it | The named user is out and unaffected users keep working |
| Restore from configuration backup | Restored version plus a probe of a revoked identity | The revision matches the backup and revoked identities stay revoked |
Pendaftaran datang dahulu kerana segala yang berikutnya bergantung padanya: peranti yang tidak boleh mendaftar tidak boleh diuji. Log masuk ialah peringkat berasingan daripada pendaftaran, dan penafian ialah peringkat yang paling banyak dilupakan oleh helaian, kerana gateway yang menerima semua orang belum dibuktikan menafikan sesiapa. Pembatalan dan pemulihan membawa sebahagian besar risiko operasi, dan kedua-duanya murah untuk dilatih pada salinan.
Berlatih pada salinan, bukan pada gateway yang hidup
Jalankan peringkat yang mengganggu pada salinan platform, mengikut prosedur penggunaan yang disokong, dan simpan setiap bukti dengan tarikh dan versi konfigurasinya. Baris but semula tidak dijawab dengan mula semula dari konsol, dan baris pemulihan tidak dijawab dengan mengeksport konfigurasi. Catat keadaan mana yang kembali sendiri dan apa yang perlu bersambung semula, kerana perbezaan itulah yang diwarisi oleh pasukan operasi. Latihan juga satu-satunya peluang untuk memasa pemulihan tanpa menjelaskan gangguan.
Rekod keadaan pembekal identiti pada saat setiap ujian, kerana baris gangguan yang diuji terhadap pembekal sihat membuktikan sebaliknya daripada apa yang didakwa oleh helaian. Dua penyemak dalam latihan yang sama menangkap perkara berbeza, dan yang kedua biasanya menemui baris yang buktinya tangkapan skrin papan pemuka. Simpan bukti itu terlekat pada baris miliknya, bukan dalam folder yang dinamakan sempena projek.
Ukur beban kerja yang akan dijalankan oleh pasukan anda
Persetujui beban kerja yang menyerupai minggu biasa, kemudian ukur di tempat anda berniat menggunakan: keserempakan, campuran trafik, dan tetingkap penyelenggaraan yang benar-benar ada pada pasukan. Angka daya pengeluaran yang diiklankan menggambarkan keadaan makmal dan tidak berkata apa-apa tentang pengguna anda. Ukur pemulihan terhadap sasaran pemulihan, bukan terhadap pelan.
Helaian itu selesai apabila setiap peringkat mempunyai artifak dan setiap artifak mempunyai tarikh. Perkakas yang diselenggara oleh seseorang, dengan bukti bagi setiap baris, ialah pembelian yang berbeza daripada senarai kotak bertanda yang terpanjang.