الجدار الناري بين المنافذ ليس حدًّا للمضيف

يجيب الموقع على 443، ويجيب VPN على 1194، ويسمح الجدار الناري بهذين بالضبط، فتنجح المراجعة. لم يسأل شيء في ذلك التسلسل عمّا يمكن لعامل الويب قراءته أو أي الملفات يمكنه إعادة كتابتها. لا يحتاج العامل المخترق إلى منفذ مفتوح إذا كان يستطيع الوصول إلى مقبس تحكم أو دليل إعدادات قابل للكتابة. الحد هو السلطة، والمستمعون ليسوا إلا الجزء السهل الرؤية.

اسم خدمة منفصل هو تسمية؛ وهوية منفصلة هي خاصية أمنية.

عدّ سلطة العامل، لا المنافذ

ابدأ بمستخدم التشغيل ومجموعاته وقدراته ورؤيته لنظام الملفات. حساب خدمة ينتمي بالصدفة إلى مجموعة VPN يمكنه قراءة المواد المفتاحية دون أي منفذ مفتوح. التركيبات القابلة للكتابة هي النصف الآخر: يجب أن تبتعد التحميلات والذاكرات المؤقتة عن ملفات السياسة والأسرار، وأي دليل مشترك قابل للكتابة بلا داعٍ يبطل التسمية المرتبة. افحص العملية التي ستقوم بالتنفيذ، لأن الأصل المميّز والعاملين غير المميّزين لا يتشاركان سلطة واحدة.

كون مفتاح VPN قابلًا للقراءة أثناء بدء تشغيل الخدمة لا يعني أن عامل الويب يحتاجه. افصل القراءة التي تقوم بها الخدمة عن الوصول الممنوح للتطبيق.

مقابس تمنح أكثر مما تبدو

بعض نقاط النهاية واجهات API إدارية ترتدي زي تغذية مقاييس. يمكن لواجهة إدارة VPN تغيير الجلسات وقطع اتصال العملاء وقراءة الحالة. مقبس وقت تشغيل الحاويات أوسع من ذلك: الوصول إليه هو تحكم بالمضيف فعليًا، بما يتجاوز بكثير ما يحتاجه تطبيق ويب. لا ينتمي أي منهما إلى مجموعة تركيبات تطبيق عادي، ولا يظهر أي منهما عند عدّ المنافذ المستمعة.

ربط مستمع إداري بعنوان محلي خطوة أولى وليس تقييدًا كاملًا، لأن كل مسار دخول إلى ذلك العنوان يظل مهمًا. اسمح بالمصادر والواجهات المقصودة فقط.

الحاويات تتشارك نواة واحدة

تضيف الحاويات حدودًا للعمليات ونظام الملفات والشبكة، وتتشارك نواة واحدة مع المضيف. وهذا يجعل اختيارات القدرات وتركيبات المضيف والوصول إلى الخدمة حاسمة: تركيب أسرار المضيف أو منح تحكم مميّز بوقت التشغيل يمحو الحد الذي يوحي به وصف الحاوية. الأجهزة الافتراضية المنفصلة تمنح بالفعل أنوية ضيوف منفصلة، بينما يبقى المشرف والهويات الإدارية والتخزين والنسخ الاحتياطية مشتركة. اختر الحد الذي لإعداداته وتحديثاته مالك مسمّى.

ترتيب أكثر تعقيدًا لا يصونه أحد أسوأ من ترتيب بسيط يُراجَع فعليًا.

اختبر المنع، ثم الخدمة

استخدم فحوصات معتمدة في سياق العامل الحقيقي لتأكيد أنه لا يستطيع تعديل سياسة VPN أو قراءة أسرار غير ضرورية أو لمس واجهة الإدارة. القراءة الناجحة كمسؤول لا تختبر شيئًا بشأن ذلك المنع. ثم تحقق من الموقع، ومن عملية VPN عادية مسموحة، وما يحدث لكل منهما عند إعادة التشغيل. احتفظ بمسار استرداد لا يعتمد على إصلاح VPN، كي يبقى الخطأ قابلًا للاسترداد.

ما زال الدوران يتشاركان المعالج والذاكرة وسعة الوصلة الصاعدة وأحداث الصيانة. تلك الموارد المشتركة تنتمي إلى الخطة حتى عندما يكون حد السلطة نظيفًا.

سجّل ما يمكن لكل عملية فعله، وما يفشل إذا توقفت، وأي حد يبقى مشتركًا. عدّ المنافذ ليس ذلك السجل.