İki faktörlü kimlik doğrulamalı sanal VPN geçidi için kabul kontrolleri
Geçidi adım adım kanıtlayın: kayıt, oturum açma, reddetme, iptal ve geri yükleme; her biri bir kanıt ve testten önce yazılmış geçme koşuluyla.
Satıcılar bu cihazı sanal ve iki faktör yetenekli olarak tanımlıyor ve bu iki kelimeden hiçbiri satın almayı belirleyen soruları yanıtlamıyor. Hangi hipervizör imajının desteklendiği, hangi istemcilerin kayıt olabileceği, ikinci faktörün gerçekte neyi kanıtladığı ve kimlik sağlayıcı çöktüğünde ne olduğu hâlâ açık. Bunları bir prova sırasında çalıştırabileceğiniz kabul aşamalarına dönüştürün; karar artık veri sayfasının ne kadar ikna edici olduğuna bağlı olmaktan çıkacak. Aşağıdaki sayfa bu kanıtlar için bir yapıdır, ürünlerin sıralaması değil.
Tedarikçinin bu dağıtım hakkında neyi onaylaması gerekir
Dağıtımı tek bir sayfaya sığdırarak başlayın: hipervizör veya bulut, konuk mimari, desteklenen imaj ve cihazın beklediği arayüzler. Kullanıcıları işletim sistemleriyle ekleyin, cihazların yönetilip yönetilmediğini ve kayıt ile oturum açmanın nasıl çalışması gerektiğini belirtin. Ardından özel erişim: uygulamalar ve önekler, DNS düzeni, dönüş yolları ve genel bir internet çıkışının teklifin parçası olup olmadığı.
Operasyon da aynı sayfaya aittir: cihazı kimin bakım yaptığı, güncellemelerin nereden geldiği, günlüklerin nereye gittiği, yapılandırmanın nasıl korunduğu ve işletmenin gerçekte hangi kurtarma hedefinde anlaştığı. Tedarikçiden tam olarak bu kombinasyonu onaylamasını isteyin, yazılımın sanal makinede çalıştığını değil. Kimlik sağlayıcı veya lisans hizmeti gibi dış bağımlılıkları görünür tutun, çünkü onunla birlikte gönderilsin veya gönderilmesin dağıtımın parçasıdırlar. Adlandırılmış bağımlılığı olmayan bir dağıtım sayfası genellikle bağımlılığı bilinmeyen bir dağıtım sayfasıdır.
İkinci faktörün ikinci faktör olduğunu kanıtlayın
Kimlik doğrulayıcıyı ve doğrulama akışını adlandırın ve her adımın hangi kimliği kurduğunu söyleyin. Arka arkaya iki parola istemi ikinci faktör değildir ve parola artı tek kullanımlık kod, hizmete bağlı kriptografik bir doğrulayıcıdan farklı bir iddiadır. Kutudaki etiketi değil, satın aldığınız akışı yazın.
Kimlik avına dayanıklılık ayrı bir özelliktir ve NIST'in doğrulayıcı rehberi bunu tam olarak böyle ele alır: kullanıcının kandırılıp iletebileceği bir kod çok faktörlü kimlik doğrulamayı hâlâ karşılar ama o ek koşulda başarısız olur. Sizin için önemliyse özelliği açıkça isteyin. Ardından kullanıcılarınızın gerçekte çalıştırdığı istemci türünden bir gösterim talep edin; kaydı, reddedilen veya süresi dolmuş bir meydan okumayı, kayıp doğrulayıcıdan sonra kurtarmayı ve diğerleri bağlı kalırken bir kullanıcının iptalini kapsasın. Geçidin kimlik doğrulamasını kapsam içinde tutun, çünkü herhangi bir geçide güvenen istemci sorunu çözmek yerine taşımıştır.
Bir şeyi bozmadan önce geçme koşulunu yazın
Aşağıdaki tablo, sayfanın tedarikçiyle teması atlatan kısmıdır, çünkü her satır güvence yerine bir kanıt ister. Geçme koşulunu provadan önce doldurun ve kanıtı olmayan satırı başarısız satır sayın. Beş aşama bir geçidin ne yapması gerektiğini kapsar.
| Acceptance stage | Evidence to keep | Pass condition |
|---|---|---|
| Enrolment | Enrolment record with the device type and the identity used | A new device enrols once, and nobody else can enrol it afterwards |
| Sign-in with the second factor | Session record naming both factors and the gateway identity that was checked | The session carries the expected identity and the gateway certificate validated |
| Denial of an unapproved destination | Log line from the control that refused the flow, with the policy name | The flow is refused and the refusal is attributable to one control |
| Revocation of one user | Revocation timestamp and the sessions that survived it | The named user is out and unaffected users keep working |
| Restore from configuration backup | Restored version plus a probe of a revoked identity | The revision matches the backup and revoked identities stay revoked |
Kayıt önce gelir çünkü sonraki her şey ona bağlıdır: kayıt olamayan bir cihaz test edilemez. Oturum açma kayıttan ayrı bir aşamadır ve reddetme, çoğu sayfanın unuttuğu aşamadır, çünkü herkesi içeri alan bir geçidin kimseyi reddettiği gösterilmemiştir. İptal ve geri yükleme operasyonel riskin büyük kısmını taşır ve ikisi de bir kopyada ucuza prova edilir.
Canlı geçitte değil, kopyada prova yapın
Bozucu aşamaları, desteklenen dağıtım yordamını izleyerek platformun bir kopyasında çalıştırın ve her kanıtı tarihi ve yapılandırma sürümüyle saklayın. Yeniden başlatma satırı konsoldan yeniden başlatmayla yanıtlanmaz ve geri yükleme satırı yapılandırmanın dışa aktarılmasıyla yanıtlanmaz. Hangi durumun kendiliğinden geri döndüğünü ve neyin yeniden bağlanması gerektiğini not edin, çünkü operasyon ekibinin devraldığı fark tam olarak budur. Prova aynı zamanda bir kesintiyi açıklamadan geri yüklemeyi zamanlamanın tek fırsatıdır.
Her testin anında kimlik sağlayıcının durumunu kaydedin, çünkü sağlıklı bir sağlayıcıya karşı test edilen kesinti satırı sayfanın iddiasının tersini kanıtlar. Aynı provadaki iki gözden geçiren farklı şeyler yakalar ve ikincisi genellikle kanıtı bir panonun ekran görüntüsü olan satırı bulur. O kanıtı ait olduğu satıra bağlı tutun, projenin adını taşıyan bir klasörde değil.
Ekibinizin çalıştıracağı iş yükünü ölçün
Normal bir haftaya benzeyen bir yükte anlaşın, sonra onu dağıtmayı planladığınız yerde ölçün: eşzamanlılık, trafik karışımı ve ekibin gerçekte sahip olduğu bakım penceresi. Duyurulan iş çıkarma sayısı bir laboratuvar koşulunu tanımlar ve kullanıcılarınız hakkında hiçbir şey söylemez. Geri yüklemeyi plana değil, kurtarma hedefine göre ölçün.
Sayfa, her aşamanın bir kanıtı ve her kanıtın bir tarihi olduğunda tamamlanır. Birinin bakımını yaptığı, her satır için kanıtı olan bir cihaz, işaretlenmiş kutuların en uzun listesinden farklı bir satın almadır.