Is-servizz MFA waqa’: iddeċiedi l-aċċess VPN qabel ma jonqos

L-aċċess VPN jieqaf, u l-alert jgħid li s-servizz tat-tieni fattur ma jintlaħaqx. Jekk xi ħadd għadu jista’ jgħaqqad hija domanda ta’ politika li kellha tiġi mwieġba qabel il-waqfa, mhux waqtha. Verifikatur mhux disponibbli mhuwiex prova li fattur għadda, u sfida miċħuda mhijiex l-istess avveniment bħal waħda li ma tintlaħaqx. Il-gwida hawn taħt iddawwar dik id-differenza f’regola miktuba li tista’ ttestjaha.

Pass 1: semmi t-tliet riżultati separatament

Ikteb tliet stati u rrifjuta li tgħaqqadhom: l-awtentikazzjoni primarja falliet, l-isfida tat-tieni fattur ġiet miċħuda jew skadiet, u s-servizz MFA qatt ma wieġeb. Kull waħda għandha sid differenti, linja tal-log differenti u rispons korrett differenti. Messaġġ wieħed ġeneriku ta’ timeout jaħbi f’liema waħda tinsab, u dik l-ambigwità hija li tibdel waqfa f’diskussjoni. Semmi l-istati fil-gwida qabel ma jkollok bżonnhom.

Ċaħda tfisser li l-verifikatur wieġeb u qal le, li huwa riżultat ta’ politika u mhux problema ta’ disponibbiltà. Tentattiv skadut ifisser li l-isfida kienet teżisti u ħadd ma lestiha fil-ħin. Servizz li ma jintlaħaqx ifisser li d-domanda qatt ma ġiet imwieġba. It-tielet wieħed biss hija waqfa.

Pass 2: aqra l-mod ta’ falliment li l-proxy tassew juża

Sib is-setting li tiggverna l-imġiba meta s-servizz ma jistax jiġi kkuntattjat, u aqraha mill-konfigurazzjoni li qed taħdem u mhux minn mudell. Fil-proxy RADIUS ta’ Duo, il-valuri failmode iddokumentati huma safe u secure, fejn safe jippermetti tentattiv biss meta l-awtentikazzjoni primarja tirnexxi, u secure jirrifjuta t-tentattiv f’dik il-kundizzjoni.

radtest alice '' 127.0.0.1 0 testing123
journalctl -u duo-authproxy -n 50 --no-pager

L-isem safe jiddeskrivi għażla ta’ disponibbiltà, mhux garanzija li kull sessjoni ammessa kellha tieni fattur ġdid. Dik is-sentenza tappartjeni għar-reġistru tar-riskji, għax hija eżattament dik il-bdil li tagħmel is-setting. Tgeneralizzax il-valur għal fornitur ieħor, integrazzjoni oħra jew mod ieħor tal-proxy; aqra d-dokumentazzjoni ta’ dak il-prodott għall-ekwivalenti tiegħu stess. Konfigurazzjoni kkupjata minn eżempju tal-fornitur mingħajr din il-fehim hija sorpriża li tistenna l-waqfa li jmiss.

Ieqaf jekk ħadd ma jista’ jgħid liema mod huwa attiv. Il-bqija tal-gwida tiddependi minn dik it-tweġiba.

Pass 3: agħmel it-tentattivi mill-ġdid jaqblu mal-fluss

Allinja t-timeout u l-imġiba tat-tentattivi mill-ġdid tal-gateway mal-fluss tal-awtentikazzjoni li qed iħaddem. Tentattivi mhux ikkoordinati joħolqu diversi talbiet, jħawdu t-tqabbil tat-tentattivi u jħallu l-log ma jistax jgħid liema riżultat jappartjeni għal liema login. Timeout twil ħafna mhuwiex disinn ta’ disponibbiltà; hija stennija itwal għall-istess tweġiba.

ss -lunp 'sport = :1812'
tail -n 50 /var/log/duo/authproxy.log

It-timeout tat-talba tal-proxy stess huwa limitu separat: talba tal-awtentikazzjoni li tinħareġ u qatt ma titlesta tiġi miċħuda, u dik iċ-ċaħda mhijiex waqfa li wieħed jirtira minnha. Ittratta ċaħda, sfida mhux mitmuma u servizz li ma jintlaħaqx bħala tliet inputs differenti fit-tabella tad-deċiżjonijiet tiegħek. Imbagħad agħmel it-tabella espliċita: liema stat jammetti, liema stat iżżomm u liema stat jiġi eskalat għall-bniedem.

Jekk żewġ komponenti t-tnejn jerġgħu jippruvaw, sewwi l-ewwel is-sjieda tat-tentattivi mill-ġdid. Talbiet doppji huma sintomu ta’ żewġ sidien, mhux ta’ servizz bil-mod.

Pass 4: iggverna l-aċċess ta’ emerġenza separatament

Jekk ikun meħtieġ aċċess ta’ emerġenza, agħtih il-firxa, l-identità, l-awtorizzazzjoni u l-ittraċċar tal-awditjar tiegħu stess. Li tiddiżattiva MFA bil-kwiet għall-utenti kollha mhijiex proċedura ta’ emerġenza; hija tħassir permanenti b’inċident imqabbad magħha. Is-sid tas-sigurtà japprova bil-quddiem ir-regola tad-dħul, il-viżibbiltà u t-triq tal-eskalazzjoni.

grep -R failmode /etc/duo /etc/radiusclient 2>/dev/null
systemctl status duo-authproxy

Ittestja l-matriċi kollha f’ambjent mhux tal-produzzjoni: falliment primarju, ċaħda deliberata, skadenza tal-isfida u nuqqas ta’ disponibbiltà tas-servizz. Għal kull wieħed, irreġistra r-riżultat tad-dħul u r-raġuni li ġiet illoggjata. Toħloqx waqfa fil-produzzjoni biex tiskopri l-imġiba kkonfigurata, u ttestjax it-triq tal-emerġenza għall-ewwel darba waqt l-inċident li għalih inkitekt. Proċedura ta’ rkupru li qatt ma tħaddmet hija dokument, mhux kontroll.

Il-gwida tintemm meta t-tliet stati jissemmew, il-mod ta’ falliment jinqara mis-sistema li qed taħdem, it-tentattivi mill-ġdid ikollhom sid wieħed, u l-aċċess ta’ emerġenza jkollu l-approvazzjoni u r-reviżjoni tiegħu stess. Infurzar prevedibbli flimkien ma’ triq tal-irkupru magħrufa huwa r-riżultat li jistħoqqlu jiġi ddokumentat.