Zaprite začasni predogled, preden postane trajen

Pregledovalec, ki se ne more povezati z VPN, potrebuje povezavo za eno popoldne, in do večera ima produkcijska storitev javno ime gostitelja, za katerega se nihče ne spomni, da ga je odobril. Zahteva je bila majhna; sprememba ne. Začasni predogled je nova pot dostopa s občinstvom, obsegom podatkov in časom konca. Obravnavajte ga kot vsak drug vhod, ker beseda začasno ne zapre ničesar.

Začasno je trajanje, ne nadzor

Beseda začasno opisuje, kako dolgo naj bi nekaj obstajalo, ne pa, kaj ga omejuje, dokler obstaja. Javno ime gostitelja brez poteka je trajno v trenutku, ko oseba, ki ga je ustvarila, zamenja ekipo.

Preden je karkoli izpostavljeno, morata lastnik storitve in lastnik varnosti odobriti tri stvari: občinstvo, podatke in trajanje.

Obstoječe okolje gostujoče VPN ali pregleda je pogosto preprostejše od objave produkcijske storitve. Že ima lastnika, pot odobritve in postopek odstranitve. Gradnja nove izjeme za eno popoldne je način, kako majhna zahteva postane trajno sredstvo. Začnite z vprašanjem, ali lahko pregled poteka znotraj nečesa, kar že obstaja.

Objavite eno operacijo, nikoli podomrežja

Izberite najmanjši vhod, ki še podpira pregled. Prednost dajte preskusni kopiji z ustreznimi podatki namesto produkcije in overjenemu čelnemu delu, ki doseže en izvorni vir, namesto katerekoli poti podomrežja.

Posrednik z dosegljivostjo VPN ne potrebuje objaviti celotnega zasebnega podomrežja in zagotovo ne bi smel objaviti skrbniškega vmesnika prehoda.

Imenujte račune, ki smejo preiti, in dejanja, ki jih lahko izvajajo. Omejitev po izvornem IP res zoži, kdo se lahko poveže. Ne prepozna pa osebe, ker so javni naslovi deljeni in se spreminjajo.

Ohranite lastno avtorizacijo aplikacije ali izrecno zaupanja vreden vhod, ki pozna identiteto. Zaščitite prenose, API-je in skrbniške poti, ne le pristajalne strani. Čelni del, ki zaključi TLS, postane zaupanja vredna končna točka, zasebna pot za njim pa javnega obiskovalca ne spremeni v člana VPN. Preizkusite izključene poti enako skrbno kot pristajalno stran.

Identiteta na čelnem delu, ne v izvornem naslovu

Pravila izvornega IP so uporabna za zoženje izpostavljenosti in neuporabna za dokazovanje, kdo je pregledovalec. Domače povezave se spreminjajo, mobilna omrežja delijo naslove, sodelavec pa je lahko za istim NAT.

Posrednik, ki pozna identiteto, ali lastna prijava aplikacije vam da odločitev na osebo. To omogoči poznejši preklic, ker lahko odstranite eno identiteto brez spreminjanja omrežja.

Pustite preverjanje potrdil vključeno in blokirajte neposreden dostop do izvora. Če je izvor še dosegljiv iz interneta, je čelni del le okras.

Prekličite pravico in pot

Zabeležite lastnika in natančen potek v operacijskem sistemu, ki že spremlja dostop. Uporabite časovno omejen dostop ali načrtovano odstranitev tam, kjer platforma to podpira, in dodajte preverjanje, če bi avtomatizacija spodletela.

Ob dogovorjenem koncu umaknite začasni čelni del, dovoljenje za pot in pravico pregledovalca prek njihovih lastnikov. Obstoječe seje in dolgotrajne povezave potrebujejo svojo obravnavo, ker odstranjena pot jih ne konča.

Kratek DNS TTL ni potek dostopa. Spreminja, kako dolgo razreševalnik hrani odgovor. Ne onemogoči računa, ne prekine žive seje in ne zapre vrat, ki še poslušajo.

Kopije v predpomnilniku so del iste težave. Umik poti izvora ne vrne datoteke, ki jo je nekdo že shranil, in skupni predpomnilnik lahko streže kopije po tem, ko posrednika ni več. Izberite politiko odziva in shranjevanja, preden se pregled začne.

Preverite, ali je stara pot res izginila

Sprejem je nova zahteva, ki spodleti, plus običajni delovni tok VPN še deluje. Preizkusite oboje, ker odstranitev, ki pokvari običajno pot, ni čista odstranitev.

Od zunaj omrežja potrdite, da sta ime in izvor zaprta:

dig +short review.example
curl -sSI --max-time 5 https://review.example/
ss -ltnp | grep ':443'

Vodite ozek revizijski zapis o tem, kaj je bilo odobreno, kdo je lahko dosegel in kdaj je bilo odstranjeno. Ta zapis je razlika med nadzorovano izjemo in nerazloženim imenom gostitelja. Začasni predogled uspe, ko zagotovi zahtevani pregled in ga nato preneha zagotavljati. Izginotje URL-ja iz sporočila v klepetu ni ta preizkus.