Prijať vzdialený prístup cez VPC vyžaduje testy odmietnutia

Prijatie vzdialeného prístupu je tabuľka očakávaných výsledkov, nie snímka obrazovky funkčnej stránky. Pre každú skupinu zapíšte, čo má uspieť a čo má zlyhať, a potom oboje spustite s vyhradenými testovacími identitami v kontrolovanom okne. Odmietnutia sú tou časťou, ktorá dokazuje hranicu; úspešné prihlásenie dokazuje len to, že tunel existuje. Všetko to funguje s už zvoleným produktom VPN.

Na testy používajte samostatné účty a označte ich tak, aby si nikto nepomýlil testovaciu identitu so skutočnou výnimkou.

Napíšte hranicu ako očakávané výsledky

Začnite rolami, nie komponentmi: kto potrebuje ktorú službu, odkiaľ a s akou identitou. Vezmite ilustračný VPC: jedna skupina potrebuje testovacie prostredie cez HTTPS, druhá potrebuje produkčnú databázu a tretia, menšia skupina spravuje samotnú bránu. Každý riadok dostane očakávané povolenie a očakávané odmietnutie, vrátane susednej služby a susedného účtu, ktoré by nemali fungovať. Táto tabuľka je akceptačné kritérium a ľudia, ktorí testy nespúšťajú, ju môžu skontrolovať.

Prihlásenie do databázy testujte oddelene od sieťovej cesty. Dostupný port TCP by nemal spôsobiť úspech neschváleného databázového účtu a členstvo vo VPN by nemalo vytvoriť cloudovú rolu IAM ani udeliť administratívny prístup k API. To sú tri nezávislé kontroly a zlyhávajú nezávisle.

Trasa nie je autorizácia

Trasa umožňuje cestu; neudeľuje povolenie. Zadržiavanie trasy je slabou náhradou za obmedzenie vynútené v cieli, pretože klient si vždy môže pridať vlastnú trasu. Bezpečnostná skupina, oprávnenie databázy a vlastná autorizácia aplikácie zostávajú kontrolami, ktoré rozhodujú. Keď test nečakane uspeje, pozrite sa najprv na politiku cieľa, nie na smerovaciu tabuľku, ktorú ste klientovi zamýšľali dať.

Preto testy odmietnutia mieria na stranu servera: tieto výsledky sa nedajú zmeniť úpravou klienta.

Ktorý zdroj kontrola skutočne vidí?

Zdrojová adresa, ktorú kontrola vyhodnocuje, závisí od architektúry brány. Brána hostovaná na EC2 môže preposielať smerovaný fond, prekladať ho na vlastnú adresu alebo po NAT predkladať inú adresu; spravovaný Client VPN sa priraďuje k podsieti a riadi sa vlastným modelom. Bezpečnostné skupiny a sieťové ACL vidia to, čo príde po tomto spracovaní. Kontrola pravidla pri nesprávnom predpoklade o zdroji je častý spôsob, ako postaviť hranicu, ktorá vyzerá správne a prepúšťa nesprávnu prevádzku.

Prepojte každý výsledok s najmenšou užitočnou udalosťou: identita a relácia, prostriedok, operácia, čas a rozhodnutie. Volanie API v CloudTrail, záznam toku VPC a protokol relácie VPN odpovedajú na rôzne otázky a žiadny z nich sám nie je auditom aplikácie.

Zrušte identitu a otestujte ju znova

Zahrňte zrušenie do tej istej tabuľky. Odstráňte testovaciu identitu, potvrďte, že nová relácia je odmietnutá, a potom samostatne potvrďte, ako sa zaobchádza s existujúcimi reláciami, pretože ide o rôzne správania s rôznymi vlastníkmi. Skontrolujte, čo sa stane po reštarte alebo výmene brány, aby ručne pridaná výnimka ticho nezmizla alebo sa nevrátila širšia. Hranica, ktorá vydrží len do nasledujúceho nasadenia, nie je hranica.

Nič z toho nenahrádza prácu so záplatami, obnovou ani životným cyklom prihlasovacích údajov. Robí merateľným užší sľub: správni ľudia sa dostanú k správnym službám, zatiaľ čo blízke trasy, účty a správne plochy zostávajú mimo oprávnenia.

Uchovávajte tabuľku spolu s nasadením a znova ju spustite, keď sa brána zmení. Testy sú lacné; predpoklady za nimi nie.