Kontrollet e pranimit për një portë VPN virtuale me vërtetim dyfaktorësh
Vërtetoni portën hap pas hapi: regjistrim, hyrje, refuzim, revokim dhe rikthim, secili me një artefakt dhe një kusht kalimi të shkruar para testit.
Furnitorët e përshkruajnë këtë pajisje si virtuale dhe të aftë për dy faktorë, dhe asnjëra nga këto dy fjalë nuk i përgjigjet pyetjeve që vendosin blerjen. Cila imazh i hipervizorit mbështetet, cilët klientë mund të regjistrohen, çfarë vërteton vërtet faktori i dytë dhe çfarë ndodh kur ofruesi i identitetit bie, mbeten të hapura. Kthejini ato në faza pranimi që mund t'i ekzekutoni në një provë, dhe vendimi nuk varet më nga sa bindëse është fleta e të dhënave. Fleta më poshtë është një strukturë për ato dëshmi, jo një renditje produktesh.
Çfarë duhet të konfirmojë furnizuesi për këtë vendosje
Filloni duke e ngjeshur vendosjen në një faqe: hipervizori ose reja, arkitektura e mysafirit, imazhi i mbështetur dhe ndërfaqet që pret pajisja. Shtoni përdoruesit me sistemet e tyre operative, nëse pajisjet administrohen dhe si duhet të funksionojnë regjistrimi dhe hyrja. Pastaj aksesi privat: aplikacionet dhe prefikset, rregullimi i DNS, rrugët e kthimit dhe nëse një dalje publike në internet është pjesë e ofertës.
Operimi i përket të njëjtës faqe: kush e mban pajisjen, nga vijnë përditësimet, ku shkojnë regjistrat, si mbrohet konfigurimi dhe cili objektiv rikthimi është dakordësuar vërtet nga biznesi. Kërkoni nga furnizuesi të konfirmojë pikërisht atë kombinim, jo që softueri ekzekutohet në një makinë virtuale. Mbani të dukshme varësitë e jashtme, si një ofrues identiteti ose një shërbim licencimi, sepse janë pjesë e vendosjes pavarësisht nëse dorëzohen me të. Një faqe vendosjeje pa varësi të emërtuar është zakonisht një faqe vendosjeje me një varësi të panjohur.
Vërtetoni se faktori i dytë është një faktor i dytë
Emërtoni vërtetuesin dhe rrjedhën e verifikimit dhe thoni cilën identitet vendos çdo hap. Dy kërkesa radhazi për fjalëkalim nuk janë një faktor i dytë, dhe një fjalëkalim plus një kod njëpërdorimsh është një pretendim tjetër nga një vërtetues kriptografik i lidhur me shërbimin. Shkruani rrjedhën që po blini, jo etiketën në kuti.
Rezistenca ndaj phishing është një veti e veçantë, dhe udhëzuesi i NIST për vërtetuesit e trajton si të tillë: një kod që përdoruesi mund të mashtrohet ta përcjellë plotëson ende vërtetimin shumëfaktorësh por dështon në atë kusht shtesë. Kërkoni vetinë në mënyrë eksplicite nëse ju intereson. Pastaj kërkoni një demonstrim nga lloji i klientit që përdoruesit tuaj ekzekutojnë vërtet, që mbulon regjistrimin, një sfidë të refuzuar ose të skaduar, rikthimin pas humbjes së vërtetuesit dhe revokimin e një përdoruesi ndërsa të tjerët mbeten të lidhur. Mbani verifikimin e identitetit të portës në fushë, sepse një klient që beson çdo portë e ka zhvendosur problemin në vend që ta zgjidhë.
Shkruani kushtin e kalimit përpara se të thyeni diçka
Tabela më poshtë është pjesa e fletës që i mbijeton kontaktit me një furnizues, sepse çdo rresht kërkon një artefakt në vend të një sigurie. Plotësoni kushtin e kalimit para provës dhe trajtoni një rresht pa dëshmi si rresht të dështuar. Pesë faza mbulojnë atë që duhet të bëjë një portë.
| Acceptance stage | Evidence to keep | Pass condition |
|---|---|---|
| Enrolment | Enrolment record with the device type and the identity used | A new device enrols once, and nobody else can enrol it afterwards |
| Sign-in with the second factor | Session record naming both factors and the gateway identity that was checked | The session carries the expected identity and the gateway certificate validated |
| Denial of an unapproved destination | Log line from the control that refused the flow, with the policy name | The flow is refused and the refusal is attributable to one control |
| Revocation of one user | Revocation timestamp and the sessions that survived it | The named user is out and unaffected users keep working |
| Restore from configuration backup | Restored version plus a probe of a revoked identity | The revision matches the backup and revoked identities stay revoked |
Regjistrimi vjen i pari sepse gjithçka më poshtë varet nga ai: një pajisje që nuk mund të regjistrohet nuk mund të testohet. Hyrja është një fazë e veçantë nga regjistrimi, dhe refuzimi është faza që shumica e fletëve e harrojnë, sepse një portë që pranon të gjithë nuk ka treguar se refuzon dikë. Revokimi dhe rikthimi mbajnë pjesën më të madhe të rrezikut operativ, dhe të dyja janë të lira për t'u provuar në një kopje.
Provoni në kopje, jo në portën aktive
Ekzekutoni fazat shqetësuese në një kopje të platformës, duke ndjekur procedurën e mbështetur të vendosjes, dhe ruani çdo dëshmi me datën dhe versionin e konfigurimit të saj. Një rresht rindezjeje nuk përgjigjet me një rindezje nga konsola, dhe një rresht rikthimi nuk përgjigjet duke eksportuar konfigurimin. Shënoni cili gjendje kthehet vetë dhe çfarë duhet të rilidhet, sepse pikërisht atë diferencë trashëgon ekipi i operimeve. Prova është gjithashtu mundësia e vetme për të matur një rikthim pa shpjeguar një ndërprerje.
Regjistroni gjendjen e ofruesit të identitetit në momentin e çdo testi, sepse një rresht ndërprerjeje i testuar kundër një ofruesi të shëndoshë provon të kundërtën e asaj që pohon fleta. Dy recensues në të njëjtën provë kapin gjëra të ndryshme, dhe i dyti zakonisht gjen rreshtin dëshmia e të cilit është një pamje ekrani e një paneli. Mbani atë dëshmi të bashkangjitur te rreshti të cilit i përket, jo në një dosje të quajtur sipas projektit.
Matni ngarkesën e punës që do të ekzekutojë ekipi juaj
Bini dakord për një ngarkesë të ngjashme me një javë normale, pastaj matni atje ku synoni të vendosni: njëkohshmëria, përzierja e trafikut dhe dritarja e mirëmbajtjes që ekipi ka vërtet. Një shifër e reklamuar e xhiros përshkruan një kusht laboratori dhe nuk thotë asgjë për përdoruesit tuaj. Matni rikthimin kundrejt objektivit të rikthimit, jo kundrejt planit.
Fleta përfundon kur çdo fazë ka një artefakt dhe çdo artefakt ka një datë. Një pajisje që dikush e mban, me dëshmi për çdo rresht, është një blerje tjetër nga lista më e gjatë e kutive të shënuara.