'n Privaat poort is geen bewys van die sagteware daaronder nie

Dit is 'n redelike instink: as net die VPN by die SSH-luisteraar uitkom, is die blootstelling klein en is die probleem opgelos. Blootstelling is egter nie gelyk aan integriteit nie. Die eerste helfte is waar en die tweede volg nie daaruit nie. Bereikbaarheid beheer wie 'n verbinding mag probeer; sagteware-integriteit beheer wat die luisteraar doen wanneer een opdaag. 'n Hek verklein die gehoor en sê niks oor die kode daar agter nie.

'n Privaat poort is 'n kleiner deur, nie 'n ander slot nie, en dié onderskeid bepaal wat jy volgende nagaan.

Twee beheermaatreëls, twee vrae

'n Netwerkbeperking verminder blootstelling. Dit laat toegelate gebruikers, en enige gekompromitteerde goedgekeurde kliënt, steeds by die betrokke diens uitkom. Om die pakket reg te maak herstel die sagteware, en dit verklein ook nie 'n te wye netwerkmagtiging nie. Elke beheermaatreël doen sy eie werk, en elkeen kan korrek wees terwyl die ander een ontbreek. Deur hulle saam te beoordeel, oortuig 'n span homself dat een albei dek, en dit is juis die fout waaroor hierdie stuk gaan.

Die VPN-eindpunt is ook sagteware, en dit dra dieselfde verpligting. Om dit by die pad te voeg, bring sy eie onderhoudsverpligting mee, en dit verwyder nie die voorsieningsketting-verantwoordelikheid vir enigiets daar agter nie.

Wat die XZ-onthulling werklik gedemonstreer het

Die XZ/liblzma-onthulling van Maart 2024 het 'n agterdeur beskryf wat onder bepaalde omstandighede tot die kompromittering van 'n SSH-bediener kon lei. Dit was net soveel 'n sagteware-integriteitsprobleem as 'n blootstellingsprobleem, en dit was nie 'n bewys dat elke Linux-installasie die kwesbare bou gehad het nie. Omvang kom uit die geaffekteerde weergawes en die verspreidings wat hulle verskeep het, nie uit die naam van die bedryfstelselfamilie nie.

Daardie onderskeid is die verskil tussen 'n insidentreaksie en 'n gerug, en dit is die moeite werd om pedanties daaroor te wees.

Om die poort te sluit is nie herstel nie

As kompromittering reeds kon plaasvind, is die verandering van bereikbaarheid nie herstel nie. 'n Agterdeur wat uitgevoer het, het reeds sy kans gehad; 'n firewall-reël reis nie terug in die tyd nie. Volg die goedgekeurde insidentproses vir die gasheer en vir enige blootgestelde geloofsbriewe, en bewaar die bewyse wat nodig is om vas te stel wat werklik uitgevoer het. Om vanaf goedgekeurde media te herbou, is gewoonlik deel van daardie gesprek.

Gebruik ook die verspreiding se huidige geverifieerde advies en herstelproses, en lees die lys van geaffekteerde weergawes eerder as die opskrif. Om 'n historiese afgradeeropdrag in 'n onverwante omgewing te kopieer, is hoe 'n regstelling 'n nuwe blootstelling word.

Beoordeel albei, afsonderlik

Vra die twee vrae op hulle eie terme. Wie kan die luisteraar bereik, en is daardie gehoor presies die een waarvoor die diens bedoel is? Watter weergawe van die sagteware is geïnstalleer, wie het die artefak onderteken, en hoe kom die organisasie agter 'n slegte vrystelling voordat dit in die nuus is? Die antwoorde hoort in verskillende dokumente met verskillende eienaars, en geen eienaar kan vir die ander antwoord nie.

Vir 'n bestuurde vloot is 'n sagteware-inventaris die beheermaatreël wat die tweede vraag hoegenaamd beantwoordbaar maak. Sonder dit word elke onthulling 'n argeologieprojek met 'n sperdatum.

'n Hek verklein die gehoor. Integriteit bepaal of die gehoor saak maak.