Verifiki ta’ aċċettazzjoni għal gateway VPN virtwali b’awtentikazzjoni b’żewġ fatturi
Ipprova l-gateway pass pass: reġistrazzjoni, dħul, rifjut, revoka u restawr, kull waħda b’artefatt u kundizzjoni ta’ għadd miktuba qabel it-test.
Il-fornituri jiddeskrivu dan l-apparat bħala virtwali u kapaċi għal żewġ fatturi, u ebda waħda miż-żewġ kelmiet ma twieġeb il-mistoqsijiet li jiddeċiedu x-xiri. Liema immaġni tal-hypervisor hija appoġġjata, liema klijenti jistgħu jirreġistraw, x’jipprova verament it-tieni fattur, u x’jiġri meta l-fornitur tal-identità jaqa’ għadhom miftuħa. Ibdel dawn fi stadji ta’ aċċettazzjoni li tista’ tmexxi fi prova, u d-deċiżjoni tieqaf tiddependi fuq kemm hija konvinċenti l-iskeda tad-data. L-iskeda hawn taħt hija struttura għal dawk il-provi, mhux klassifika ta’ prodotti.
X’għandu jikkonferma l-fornitur dwar dan id-deploy
Ibda billi żżomm id-deploy f’paġna waħda: il-hypervisor jew il-cloud, l-arkitettura tal-mistieden, l-immaġni appoġġjata u l-interfaces li jistenna l-apparat. Żid l-utenti bis-sistemi operattivi tagħhom, jekk it-tagħmir huwiex ġestit, u kif għandhom jaħdmu r-reġistrazzjoni u d-dħul. Imbagħad l-aċċess privat: applikazzjonijiet u prefissi, arranġament tad-DNS, toroq tar-ritorn, u jekk ħruġ pubbliku lejn l-internet huwiex parti mill-offerta.
L-operazzjonijiet jappartjenu għall-istess paġna: min iżomm il-kaxxa, minn fejn jiġu l-aġġornamenti, fejn imorru l-logs, kif hija protetta l-konfigurazzjoni, u liema mira ta’ restawr il-kummerċ fil-fatt qabel. Itlob lill-fornitur jikkonferma eżatt dik il-kombinazzjoni, mhux li s-software jaħdem f’magna virtwali. Żomm il-dipendenzi esterni bħal fornitur tal-identità jew servizz tal-liċenzja viżibbli, għax huma parti mid-deploy kemm jekk jiġu fornuti miegħu kemm jekk le. Paġna ta’ deploy mingħajr dipendenza msemmija normalment hija paġna ta’ deploy b’dipendenza mhux magħrufa.
Ipprova li t-tieni fattur huwa t-tieni fattur
Semmi l-awtentikatur u l-fluss tal-verifika, u għid liema identità tistabbilixxi kull pass. Żewġ talbiet tal-password wara xulxin mhumiex tieni fattur, u password flimkien ma’ kodi ta’ darba hija dikjarazzjoni differenti minn awtentikatur kriptografiku marbut mas-servizz. Ikteb il-fluss li qed tixtri, mhux it-tikketta fuq il-kaxxa.
Ir-reżistenza għall-phishing hija proprjetà separata, u il-gwida tal-NIST dwar l-awtentikaturi tittrattaha hekk: kodi li utent jista’ jiġi mqarraq biex jgħaddih xorta waħda jissodisfa l-awtentikazzjoni multifattur filwaqt li jonqos f’dik il-kundizzjoni addizzjonali. Itlob il-proprjetà b’mod espliċitu jekk hija importanti għalik. Imbagħad ippretendi dimostrazzjoni mit-tip ta’ klijent li l-utenti tiegħek fil-fatt jużaw, li tkopri r-reġistrazzjoni, sfida miċħuda jew skaduta, irkupru wara awtentikatur mitluf, u revoka ta’ utent wieħed waqt li oħrajn jibqgħu konnessi. Żomm il-verifika tal-identità tal-gateway fl-ambitu, għax klijent li jafda fi kwalunkwe gateway ikun ċaqlaq il-problema minflok ma ħallha.
Ikteb il-kundizzjoni ta’ għadd qabel ma tkisser xi ħaġa
It-tabella hawn taħt hija l-parti tal-iskeda li tibqa’ ħajja fil-kuntatt ma’ fornitur, għax kull ringiela titlob artefatt minflok assigurazzjoni. Imla l-kundizzjoni ta’ għadd qabel il-prova, u ttratta ringiela mingħajr evidenza bħala ringiela falluta. Ħames stadji jkopru dak li għandu jagħmel gateway.
| Acceptance stage | Evidence to keep | Pass condition |
|---|---|---|
| Enrolment | Enrolment record with the device type and the identity used | A new device enrols once, and nobody else can enrol it afterwards |
| Sign-in with the second factor | Session record naming both factors and the gateway identity that was checked | The session carries the expected identity and the gateway certificate validated |
| Denial of an unapproved destination | Log line from the control that refused the flow, with the policy name | The flow is refused and the refusal is attributable to one control |
| Revocation of one user | Revocation timestamp and the sessions that survived it | The named user is out and unaffected users keep working |
| Restore from configuration backup | Restored version plus a probe of a revoked identity | The revision matches the backup and revoked identities stay revoked |
Ir-reġistrazzjoni tiġi l-ewwel għax kollox warajha jiddependi fuqha: apparat li ma jistax jirreġistra ma jistax jiġi ttestjat. Id-dħul huwa stadju separat mir-reġistrazzjoni, u r-rifjut huwa l-istadju li l-biċċa l-kbira tal-iskedi jinsieh, għax gateway li jdaħħal lil kulħadd ma wriex li jirrifjuta lil ħadd. Ir-revoka u r-restawr iġorru l-biċċa l-kbira tar-riskju operattiv, u t-tnejn huma rħas biex jiġu pprattikati fuq kopja.
Ipprattika fuq il-kopja, mhux fuq il-gateway ħaj
Mexxi l-istadji li jfixklu fuq kopja tal-pjattaforma, skont il-proċedura tad-deploy appoġġjata, u żomm kull biċċa evidenza bid-data u l-verżjoni tal-konfigurazzjoni tagħha. Ringiela ta’ reboot ma tiġix imwieġba b’restart mill-console, u ringiela ta’ restawr ma tiġix imwieġba bl-esportazzjoni tal-konfigurazzjoni. Innota liema stat jerġa’ lura waħdu u x’għandu jerġa’ jingħaqad, għax dik id-differenza hija dik li l-grupp tal-operazzjonijiet jiret. Il-prova hija wkoll l-unika ċans li tkejjel restawr mingħajr ma tispjega waqfa.
Irreġistra l-istat tal-fornitur tal-identità fil-mument ta’ kull test, għax ringiela ta’ waqfa ttestjata kontra fornitur b’saħħtu tipprova l-oppost ta’ dak li tiddikjara l-iskeda. Żewġ reviżuri fl-istess prova jaqbdu affarijiet differenti, u t-tieni normalment isib ir-ringiela li l-evidenza tagħha hija screenshot ta’ dashboard. Żomm dik l-evidenza mehmuża mar-ringiela li tagħha hija, mhux f’folder imsemmi għall-proġett.
Kejjel ix-xogħol li l-grupp tiegħek se jmexxi
Ittieħed ftehim dwar tagħbija li tixbah ġimgħa normali, imbagħad kejjilha fejn beħsiebek tpoġġi: konkorrenza, taħlita ta’ traffiku, u t-tieqa tal-manutenzjoni li l-grupp fil-fatt għandu. Ċifra ta’ throughput imxandra tiddeskrivi kundizzjoni tal-laboratorju u ma tgħid xejn dwar l-utenti tiegħek. Kejjel ir-restawr kontra l-mira tar-restawr, mhux kontra l-pjan.
L-iskeda titlesta meta kull stadju jkollu artefatt u kull artefatt ikollu data. Apparat li xi ħadd iżomm, b’evidenza għal kull ringiela, huwa xiri differenti mill-itwal lista ta’ kaxxi mmarkati.