Prihvatanje udaljenog pristupa preko VPC-a zahteva testove odbijanja

Prihvatanje udaljenog pristupa je tabela očekivanih ishoda, a ne snimak ekrana radne stranice. Za svaku grupu zapišite šta treba da uspe i šta treba da ne uspe, pa oboje pokrenite na namenskim testnim identitetima u kontrolisanom prozoru. Odbijanja su deo koji dokazuje granicu; uspešna prijava dokazuje samo da tunel postoji. Sve to funkcioniše sa već izabranim VPN proizvodom.

Koristite odvojene račune za testove i označite ih tako da niko ne pomeša testni identitet sa stvarnim izuzetkom.

Zapišite granicu kao očekivane rezultate

Pođite od uloga, a ne od komponenti: kome treba koja usluga, odakle i sa kojim identitetom. Uzmite ilustrativni VPC: jednoj grupi treba testno okruženje preko HTTPS-a, drugoj produkciona baza podataka, a treća i manja grupa administrira sam pristupnik. Svaki red dobija očekivano dopuštenje i očekivano odbijanje, uključujući susednu uslugu i susedni račun koji ne bi trebalo da rade. Ta tabela je kriterijum prihvatanja i ljudi koji ne izvode testove mogu je pregledati.

Testirajte prijavu u bazu podataka odvojeno od mrežne putanje. Dostupan TCP port ne bi trebalo da učini uspešnim neodobreni račun baze podataka, a članstvo u VPN-u ne bi trebalo da stvori oblak IAM ulogu ili dodeli administrativni pristup API-ju. To su tri nezavisne kontrole i one padaju nezavisno.

Ruta nije autorizacija

Ruta čini putanju mogućom; ona ne daje dozvolu. Uskraćivanje rute je slaba zamena za ograničenje koje se sprovodi na odredištu, jer klijent uvek može dodati sopstvenu rutu. Sigurnosna grupa, odobrenje baze podataka i sopstvena autorizacija aplikacije ostaju kontrole koje odlučuju. Kada test neočekivano uspe, prvo pogledajte politiku odredišta, a ne tabelu rutiranja koju ste nameravali da date klijentu.

Zato testovi odbijanja ciljaju na serversku stranu: ti rezultati ne mogu da se promene uređivanjem klijenta.

Koji izvor kontrola zapravo vidi?

Adresa izvora koju kontrola procenjuje zavisi od arhitekture pristupnika. Pristupnik hostovan na EC2 može da prosleđuje rutiran bazen, prevede ga u sopstvenu adresu ili nakon NAT-a prikaže drugu adresu; upravljani Client VPN se povezuje sa podmrežom i sledi sopstveni model. Sigurnosne grupe i mrežni ACL-ovi vide sve što stigne nakon te obrade. Provera pravila prema pogrešnoj pretpostavci o izvoru čest je način da se izgradi granica koja izgleda ispravno i propušta pogrešan saobraćaj.

Povežite svaki rezultat sa najmanjim korisnim događajem: identitet i sesija, resurs, operacija, vreme i odluka. Poziv API-ja u CloudTrail-u, zapis toka u VPC-u i dnevnik VPN sesije odgovaraju na različita pitanja i nijedan sam nije revizija aplikacije.

Povucite identitet i ponovo ga testirajte

Uključite povlačenje u istu tabelu. Uklonite testni identitet, potvrdite da je nova sesija odbijena, pa odvojeno potvrdite kako se tretiraju postojeće sesije, jer su to različita ponašanja sa različitim vlasnicima. Proverite šta se dešava nakon ponovnog pokretanja ili zamene pristupnika, da ručno dodati izuzetak ne nestane tiho ili se ne vrati širi. Granica koja traje samo do sledećeg postavljanja nije granica.

Ništa od ovoga ne zamenjuje rad na zakrpama, oporavku ili životnom ciklusu akreditiva. Čini merljivim uže obećanje: pravi ljudi dolaze do pravih usluga, dok obližnje rute, računi i upravljačke površine ostaju izvan odobrenja.

Držite tabelu uz postavljanje i ponovo je pokrenite kada se pristupnik promeni. Testovi su jeftini; pretpostavke iza njih nisu.