'n Brandmuur tussen poorte is nie 'n gasheergrens nie

Die webwerf antwoord op 443, die VPN antwoord op 1194, die brandmuur laat presies daardie twee deur, en die hersiening slaag. Niks in daardie reeks het gevra wat die webwerker kan lees of watter lêers dit kan herskryf nie. 'n Gekompromitteerde werker het nie 'n oop poort nodig as hy 'n beheersok of 'n skryfbare konfigurasiegids kan bereik nie. Die grens is gesag, en luisteraars is net die deel wat maklik is om te sien.

'n Aparte diensnaam is 'n etiket; 'n aparte identiteit is 'n sekuriteitseienskap.

Tel die werker se gesag, nie die poorte nie

Begin met die looptydgebruiker, sy groepe, sy vermoëns en sy lêerstelsel-aansig. 'n Diensrekening wat toevallig aan 'n VPN-groep behoort, kan sleutelmateriaal lees sonder dat enige poort oop is. Skryfbare monterings is die ander helfte: oplaaisels en kasgeheues moet ver van beleidlêers en geheime sit, en 'n onnodig gedeelde skryfbare gids verydel netjiese benaming. Kontroleer die proses wat die bewerking sou uitvoer, want 'n bevoorregte ouer en onbevoorregte werkers deel nie een gesag nie.

'n VPN-sleutel wat tydens die daemon se opstart leesbaar is, beteken nie die webwerker het dit nodig nie. Skei die lees wat die daemon doen van die toegang wat aan die toepassing verleen word.

Sokke wat meer verleen as wat hulle lyk

Sommige eindpunte is administratiewe API's in die kostuum van 'n metrieke voer. Die VPN se bestuurskoppelvlak kan sessies verander, kliënte ontkoppel en toestand lees. 'n Houer-looptydsok is nog wyer: toegang daartoe is in effek gasheerbeheer, ver verby wat 'n webtoepassing nodig het. Nie een hoort in 'n gewone toepassing se monteringsversameling nie, en nie een verskyn wanneer jy luisterende poorte tel nie.

Om 'n bestuursluisteraar aan 'n plaaslike adres te bind is 'n begin, nie 'n volledige beperking nie, want elke inkomende pad na daardie adres bly saak maak. Laat slegs die beoogde bronne en koppelvlakke toe.

Houers deel een kern

Houers voeg proses-, lêerstelsel- en netwerkgrense by, en hulle deel een kern met die gasheer. Dit maak vermoënskeuses, gasheermonterings en daemontoegang deurslaggewend: om gasheergeheime te monteer of bevoorregte looptydbeheer te verleen, wis die grens uit wat die houeretiket voorstel. Aparte VM's gee wel aparte gastekerne, terwyl die hipervisor, administratiewe identiteite, berging en rugsteun gedeel bly. Kies die grens wie se konfigurasie en opdaterings 'n benoemde eienaar het.

'n Meer uitgebreide reëling wat niemand onderhou nie, is slegter as 'n eenvoudige een wat werklik hersien word.

Toets die weiering, dan die diens

Gebruik goedgekeurde kontroles binne die werker se werklike konteks om te bevestig dat dit nie VPN-beleid kan wysig, onnodige geheime kan lees of die bestuurskoppelvlak kan aanraak nie. 'n Suksesvolle lees as administrateur toets niks oor daardie weiering nie. Verifieer dan die webwerf, 'n gewone toegelate VPN-bewerking, en wat met elkeen gebeur tydens herbegin. Bewaar 'n herstelpad wat nie daarvan afhang dat die VPN herstel word nie, sodat 'n fout herstelbaar bly.

Beide rolle deel steeds SVE, geheue, opstuurkapasiteit en onderhoudsgebeurtenisse. Daardie gedeelde hulpbronne hoort in die plan, selfs wanneer die gesagsgrens skoon is.

Teken op wat elke proses kan doen, wat misluk as dit stop, en watter grens gedeel bly. Poorttellings is nie daardie rekord nie.