VPN-poort deur 'n maatstaf gemerk? Kyk eers na die kontrole se omvang

Jou skandeerder merk die VPN-poort, die kaartjie herformuleer dit as ’n openbare luisteraar, en die argument wat volg gaan oor of die blootstelling werklik is. Die bevinding sê selde wat die leser aanneem dit sê. Dit haal ’n maatstafkontrole met ’n vaste omvang aan, en die poortnommer is net een insette tot daardie omvang.

Lees die kontrole voordat jy die poort verdedig. ’n Bevinding wat soos ’n uitspraak lees, is gewoonlik ’n predikaat wat op een hulpbron toegepas is.

Wat die bevindingsry eintlik aanhaal

Elke maatstafbevinding dra vier dinge wat die moeite werd is om te skei: die dokument en hersiening waaruit dit kom, die hulpbron wat beoordeel is, die predikaat wat die resultaat veroorsaak het, en die dekking wat die oudit werklik bereik het. Spanne haal gewoonlik net die hulpbron aan, ’n sekuriteitsgroep of ’n netwerk-ACL of ’n gasheer, en dan stry oor die poort. Die predikaat is wat besluit of jou luisteraar hoegenaamd in die omvang was. Sonder dit debatteer jy oor ’n nommer in plaas van ’n reël.

Amazon se Security Hub-dokumentasie hou daardie skeiding sigbaar sonder ’n betaalmuur-PDF:die EC2-kontrolesbladsy lys sekuriteitsgroepkontroles vir onbeperkte toegang op poorte 22 en 3389, en behandel netwerk-ACL's as ’n ander hulpbron met sy eie voorwaardes. Dieselfde administrasiepoorte, ander objek, ander toets. Dit is die korreligheid wat ’n bevinding erf.

aws ec2 describe-security-groups --group-ids sg-0d1f8a2c4b6e9f3a1 --output json
aws ec2 describe-network-acls --filters Name=entry.port-range.from,Values=22 --output table

Skei die openbare luisteraar van administratiewe toegang

’n VPN-luisteraar wat UDP 1194 vanaf die internet aanvaar, en ’n SSH-diens wat eers na toelating bereikbaar is, is verskillende blootstellingspaaie. Die kontrole wat die eerste dek, sê dalk niks oor die tweede nie, en die kontrole wat die tweede dek, ignoreer dalk die eerste. ’n Slaagresultaat op een is nie ’n stelling oor die ander nie, hoe eenders die twee ook in ’n statusvergadering klink.

Behandel elke pad as sy eie ry in die oorsig.

Verifieer dan wat die poort self magtig. ’n Tonnel aanvaar is nie dieselfde as om administratiewe regte op die poort toe te ken nie, en nie een van dié twee is gelyk aan om ’n bediener agter dit te bereik nie. Verdeel die vraag in wie kan konekteer, wie kan administreer, en wat die tonnel kan bereik. Daardie drie antwoorde kom uit verskillende stelsels en word gereeld in een sin saamgevoeg waarop niemand kan handel nie.

Die hulpbron besluit of die poort hoegenaamd in die omvang is

’n Sekuriteitsgroepreël, ’n subnet-ACL-inskrywing en ’n gasheervuurmuurreël kan almal verkeer toelaat, maar net een van hulle is dalk die objek wat die kontrole evalueer. Doeltreffende toelating beteken om parallelle groepe, beide adresfamilies en enige weieringsreël voor hulle te kombineer. ’n Poort wat ’n groepvlakkontrole faal, kan steeds onbereikbaar wees, en ’n poort wat dit slaag, kan steeds verder in geblokkeer wees.

Dit is waar die oorplanting van ’n ander omgewing se reëls verkeerd loop. Netwerk-ACL's is toestandloos en word in volgorde geëvalueer; sekuriteitsgroepe is toestandvol en laat net toe. ’n Reëlmodel wat by een geleen is, beskryf nie die ander nie, en om dit te vertaal lewer ’n selfversekerde antwoord oor die verkeerde objek.

Teken die beslissing aan sodat die volgende oudit dit hergebruik

Wanneer die omvang werklik dubbelsinnig is, skryf die kontrole-hersiening, die hulpbronidentifiseerder, die predikaat soos aangehaal en die bewyse wat dit opgelos het neer. Sluit in wat jy uitgesluit het en waarom. Daardie rekord is wat ’n tweede beoordelaar dieselfde gevolgtrekking laat maak sonder om die hele maatstaf te herlees, en dit is die enigste ding wat personeelomset oorleef.

’n Nota wat “VPN-poort nagegaan” lees, waarborg dat die argument volgende kwartaal terugkom. Noem eerder die beoordelaar, die hersiening en die bewyse.