Zatvorte dočasný náhľad, kým sa nestane trvalým

Recenzent, ktorý sa nemôže pripojiť k VPN, potrebuje odkaz na jedno popoludnie, a do večera má produkčná služba verejné meno hostiteľa, o ktorom si nikto nepamätá, že ho schválil. Žiadosť bola malá; zmena nie. Dočasný náhľad je nová prístupová cesta s publikom, rozsahom údajov a časom ukončenia. Zaobchádzajte s ním ako s každým iným vstupom, pretože slovo dočasný nič nezatvorí.

Dočasný je trvanie, nie kontrola

Slovo dočasný opisuje, ako dlho má niečo existovať, nie čo ho obmedzuje, kým existuje. Verejné meno hostiteľa bez platnosti je trvalé v okamihu, keď človek, ktorý ho vytvoril, zmení tím.

Predtým, než sa čokoľvek vystaví, majiteľ služby a majiteľ bezpečnosti by mali schváliť tri veci: publikum, údaje a trvanie.

Existujúce prostredie hosťovskej VPN alebo recenzie je často jednoduchšie než zverejnenie produkčnej služby. Už má vlastníka, schvaľovaciu cestu a proces odstránenia. Vytvorenie novej výnimky na jedno popoludnie je spôsob, akým sa malá žiadosť stane trvalým aktívom. Začnite otázkou, či recenzia môže prebehnúť vnútri niečoho, čo už existuje.

Zverejnite jednu operáciu, nikdy podsiete

Vyberte najmenší vstup, ktorý recenziu ešte podporuje. Uprednostnite testovaciu kópiu s vhodnými údajmi pred produkciou a overené rozhranie, ktoré dosiahne jeden súkromný zdroj, pred akoukoľvek trasou podsiete.

Prenosový uzol s dosahom do VPN nemusí zverejňovať celú súkromnú podsieť a rozhodne by nemal zverejňovať administratívne rozhranie brány.

Pomenujte účty, ktorým je povolený prechod, a akcie, ktoré môžu vykonávať. Obmedzenie podľa zdrojovej IP naozaj zužuje, kto sa môže pripojiť. Neidentifikuje však človeka, pretože verejné adresy sú zdieľané a menia sa.

Zachovajte vlastnú autorizáciu aplikácie alebo výslovne dôveryhodný vstup, ktorý pozná identitu. Chráňte sťahovania, API a administratívne cesty, nielen vstupnú stránku. Rozhranie, ktoré ukončuje TLS, sa stáva dôveryhodným koncovým bodom a súkromná trasa za ním neurobí z verejného návštevníka člena VPN. Testujte vylúčené cesty rovnako starostlivo ako vstupnú stránku.

Identita na rozhraní, nie v zdrojovej adrese

Pravidlá zdrojovej IP sú užitočné na zúženie expozície a nepoužiteľné na preukázanie, kto je recenzent. Domáce pripojenia sa menia, mobilné siete zdieľajú adresy a kolega môže byť za tou istou NAT.

Proxy, ktoré pozná identitu, alebo vlastné prihlásenie aplikácie vám dáva rozhodnutie pre každého človeka. Práve to umožňuje neskoršie odvolanie, pretože môžete odstrániť jednu identitu bez zmeny siete.

Nechajte overovanie certifikátov zapnuté a zablokujte priamy prístup k zdroju. Ak je zdroj stále dostupný z internetu, rozhranie je len dekorácia.

Odvolajte oprávnenie aj trasu

Zaznamenajte vlastníka a presnú platnosť v operačnom systéme, ktorý už sleduje prístup. Použite časovo obmedzený prístup alebo plánované odstránenie tam, kde to platforma podporuje, a pridajte kontrolu pre prípad, že automatizácia zlyhá.

V dohodnutom konci vyraďte dočasné rozhranie, povolenie trasy a oprávnenie recenzenta prostredníctvom ich vlastníkov. Existujúce relácie a dlhodobé pripojenia potrebujú vlastné ošetrenie, pretože odstránená trasa ich neukončí.

Krátke DNS TTL nie je vypršanie prístupu. Mení, ako dlho si prekladač odpoveď ponechá. Nevypne účet, nepreruší živú reláciu ani nezatvorí port, ktorý stále počúva.

Uložené kópie sú súčasťou toho istého problému. Zvesenie cesty k zdroju nevráti súbor, ktorý si niekto už uložil, a zdieľaná vyrovnávacia pamäť môže vydávať kópie po tom, čo prenosový uzol zmizol. Zvoľte politiku odpovedí a ukladania pred začiatkom recenzie.

Overte, či stará cesta naozaj zmizla

Prijatie je nová požiadavka, ktorá zlyhá, plus bežný pracovný postup VPN stále fungujúci. Testujte oboje, pretože odstránenie, ktoré rozbije obvyklú cestu, nie je čisté odstránenie.

Zvonku siete potvrďte, že meno aj zdroj sú zatvorené:

dig +short review.example
curl -sSI --max-time 5 https://review.example/
ss -ltnp | grep ':443'

Veďte úzky audítorský záznam o tom, čo bolo schválené, kto sa k tomu mohol dostať a kedy to bolo odstránené. Ten záznam je rozdiel medzi kontrolovanou výnimkou a nevysvetleným menom hostiteľa. Dočasný náhľad uspeje, keď poskytne požadovanú recenziu a potom ju prestane poskytovať. Zmiznutie URL zo správy v chate nie je ten test.