Služba MFA spadla: rozhodnite o prístupe VPN vopred

Prístup VPN sa zastaví a upozornenie hovorí, že služba druhého faktora nie je dostupná. To, či sa ešte niekto môže pripojiť, je otázka politiky, ktorá mala byť zodpovedaná pred výpadkom, nie počas neho. Nedostupný overovateľ nie je dôkaz, že faktor prešiel, a odmietnutá výzva nie je tá istá udalosť ako nedostupná. Postup nižšie mení tento rozdiel na písomné pravidlo, ktoré môžete otestovať.

Krok 1: pomenujte tri výsledky oddelene

Zapíšte tri stavy a odmietnite ich zlučovať: primárna autentifikácia zlyhala, výzva druhého faktora bola odmietnutá alebo vypršala a služba MFA nikdy neodpovedala. Každý má iného vlastníka, iný riadok v logu a inú správnu reakciu. Jedna všeobecná správa o vypršaní času skrýva, v ktorom z nich ste, a práve táto nejednoznačnosť mení výpadok na hádku. Pomenujte stavy v postupe skôr, než ich budete potrebovať.

Odmietnutie znamená, že overovateľ odpovedal a povedal nie, čo je výsledok politiky, nie problém dostupnosti. Vypršaný pokus znamená, že výzva existovala a nikto ju včas nedokončil. Nedostupná služba znamená, že otázka vôbec nebola zodpovedaná. Výpadkom je len tretí prípad.

Krok 2: prečítajte si režim zlyhania, ktorý proxy skutočne používa

Nájdite nastavenie, ktoré riadi správanie, keď sa službu nedá kontaktovať, a prečítajte ho z bežiacej konfigurácie, nie zo šablóny. V RADIUS proxy Duo sú dokumentované hodnoty failmode safe a secure, pričom safe povoľuje pokus len vtedy, keď primárna autentifikácia uspeje, a secure pokus v tejto podmienke odmieta.

radtest alice '' 127.0.0.1 0 testing123
journalctl -u duo-authproxy -n 50 --no-pager

Názov safe opisuje voľbu dostupnosti, nie záruku, že každá prijatá relácia mala čerstvý druhý faktor. Táto veta patrí do registra rizík, pretože je to presne tá výmena, ktorú nastavenie robí. Nezovšeobecňujte hodnotu na iného poskytovateľa, inú integráciu ani iný režim proxy; prečítajte si dokumentáciu daného produktu k jeho vlastnému ekvivalentu. Konfigurácia skopírovaná z príkladu dodávateľa bez tohto pochopenia je prekvapenie čakajúce na ďalší výpadok.

Zastavte sa, ak nikto nevie povedať, ktorý režim je aktívny. Zvyšok postupu závisí od tejto odpovede.

Krok 3: zlaďte opakovania s tokom

Zlaďte časový limit a správanie pri opakovaní brány s tokom autentifikácie, ktorý riadi. Nekoordinované opakovania vytvárajú viac výziev, mätú párovanie pokusov a nechávajú log bez schopnosti povedať, ktorý výsledok patrí ktorému prihláseniu. Veľmi dlhý časový limit nie je návrh dostupnosti; je to dlhšie čakanie na tú istú odpoveď.

ss -lunp 'sport = :1812'
tail -n 50 /var/log/duo/authproxy.log

Vlastný časový limit požiadavky proxy je samostatná hranica: požiadavka na autentifikáciu, ktorá je vydaná a nikdy nedokončená, je odmietnutá, a toto odmietnutie nie je výpadok, z ktorého sa ustupuje. Berte odmietnutie, nedokončenú výzvu a nedostupnú službu ako tri rôzne vstupy do svojej rozhodovacej tabuľky. Potom tabuľku sprehľadnite: ktorý stav pustí, ktorý stav podrží a ktorý stav eskaluje na človeka.

Ak opakujú pokus obe komponenty, opravte najprv vlastníctvo opakovaní. Duplicitné výzvy sú príznakom dvoch vlastníkov, nie pomalej služby.

Krok 4: spravujte núdzový prístup oddelene

Ak je núdzový prístup potrebný, dajte mu vlastný rozsah, identitu, oprávnenie a audítnú stopu. Tiché vypnutie MFA pre všetkých používateľov nie je núdzový postup; je to trvalé oslabenie s pripojeným incidentom. Vlastník bezpečnosti vopred schvaľuje pravidlo prístupu, viditeľnosť a cestu eskalácie.

grep -R failmode /etc/duo /etc/radiusclient 2>/dev/null
systemctl status duo-authproxy

Otestujte celú maticu v neprodukčnom prostredí: zlyhanie primárnej autentifikácie, úmyselné odmietnutie, vypršanie výzvy a nedostupnosť služby. Pri každom zaznamenajte výsledok prístupu a dôvod zapísaný do logu. Nevytvárajte produkčný výpadok, aby ste zistili nastavené správanie, a netestujte núdzovú cestu prvýkrát počas incidentu, pre ktorý bola napísaná. Postup obnovy, ktorý sa nikdy nespustil, je dokument, nie kontrola.

Postup sa končí, keď sú tri stavy pomenované, režim zlyhania je prečítaný z bežiaceho systému, opakovania majú jedného vlastníka a núdzový prístup má svoje vlastné schválenie a revíziu. Predvídateľné presadzovanie plus známa cesta obnovy je výsledok, ktorý stojí za zdokumentovanie.