Белый список адресов — самая надёжная защита и самая неудобная одновременно.
Пока команда сидит в офисе с постоянным адресом, всё прекрасно. Как только люди работают откуда придётся, начинается: адрес поменялся, доступ пропал, человек просит срочно добавить свой новый, список разрастается, в нём появляются целые сети провайдеров «на всякий случай». Со временем такой список пропускает пол-страны и защищает примерно ни от чего.
Рабочий выход — не расширять список, а сузить задачу: пускать не с адреса, а из своей сети. Отдельный защищённый вход, за которым уже живут все внутренние сервисы. Тогда белый список состоит из одного пункта, самого входа, и он постоянный.
Что при этом важно:
— вход во внутреннюю сеть должен быть защищён вторым фактором, иначе вы просто перенесли проблему;
— доступ внутрь не означает доступ ко всему: разделение внутри сети всё равно нужно;
— временные исключения «на один день» нужно оформлять так, чтобы они действительно исчезали.
И отдельно: белый список — плохая замена проверке доступа. Он хорош как второй слой и опасен как единственный. 🔧
Файрвол и Доступы
@firewall_access_n1k_n1k
Белый список адресов — самая надёжная защита и самая неудобная одновременно.
Этот пост опубликован в Telegram-канале Файрвол и Доступы. Подписаться можно по ссылке: @firewall_access_n1k_n1k.