Şəxsi port onun arxasındakı proqram təminatına şəhadət vermir

Bu ağlabatan bir instinktdir: yalnız VPN SSH dinləyicisinə çatırsa, məruz qalma azdır və problem həll olunub. Amma məruz qalma bütövlüyə bərabər deyil. Birinci yarı doğrudur, ikincisi isə ondan çıxmır. Əlçatanlıq kimin bağlantı cəhd edə biləcəyini idarə edir; proqram bütövlüyü isə dinləyicinin bağlantı gələndə nə edəcəyini idarə edir. Darvaza auditoriyanı daraldır və arxasındakı kod barədə heç nə demir.

Şəxsi port daha kiçik bir qapıdır, fərqli bir qıfıl deyil, və bu fərq növbəti nəyi yoxlayacağınızı müəyyən edir.

İki nəzarət, iki sual

Şəbəkə məhdudiyyəti məruz qalmanı azaldır. O, icazə verilmiş istifadəçiləri və hər hansı zədələnmiş təsdiqlənmiş müştərini təsirlənən xidmətə çatmaq qabiliyyətində saxlayır. Paketi düzəltmək proqramı bərpa edir və həddindən artıq geniş şəbəkə icazəsini də daraltmır. Hər nəzarət öz işini görür və hər biri digəri yoxkən düzgün ola bilər. Onları birlikdə nəzərdən keçirmək komandanın birinin hər ikisini əhatə etdiyinə özünü inandırma üsuludur və bu məqalənin bəhs etdiyi konkret səhvdir.

VPN son nöqtəsi də proqramdır və eyni öhdəliyi daşıyır. Onu yola əlavə etmək öz texniki xidmət öhdəliyini gətirir və arxasındakı hər hansı şey üçün təchizat zənciri məsuliyyətini aradan qaldırmır.

XZ açıqlaması əslində nə göstərdi

2024-cü ilin martında XZ/liblzma açıqlaması təsirlənən şəraitdə SSH serverinin kompromisə uğramasına səbəb ola biləcək arxa qapı təsvir edirdi. Bu, məruz qalma problemi qədər proqram bütövlüyü problemi idi və hər Linux quraşdırmasının zəif quruluşu daşıdığına dəlil deyildi. Əhatə dairəsi təsirlənən versiyalardan və onları göndərən distributivlərdən gəlir, əməliyyat sistemi ailəsinin adından deyil.

Bu fərq insident cavabı ilə şayiə arasındakı fərqdir və bu barədə pedantik olmağa dəyər.

Portu bağlamaq bərpa deyil

Kompromis artıq baş vermiş ola bilərsə, əlçatanlığı dəyişmək bərpa deyil. İcra olunmuş arxa qapı artıq öz imkanını əldə edib; firewall qaydası zamanda geriyə getmir. Host və məruz qalmış istənilən etimadnamə üçün təsdiqlənmiş insident prosesinə əməl edin və həqiqətən nəyin icra olunduğunu müəyyən etmək üçün lazım olan sübutları saxlayın. Etibarlı mediadan yenidən qurma adətən həmin söhbətin bir hissəsidir.

Distributivin cari təsdiqlənmiş məsləhət və remediasiya prosesindən də istifadə edin və başlıq yerinə təsirlənən versiyalar siyahısını oxuyun. Tarixi endirmə əmrini əlaqəsiz mühitə köçürmək düzəlişin yeni məruz qalmaya çevrilmə üsuludur.

Hər ikisini ayrıca nəzərdən keçirin

İki sualı öz şərtləri ilə verin. Dinləyiciyə kim çata bilər və bu auditoriya tam olaraq xidmətin nəzərdə tutduğu auditoriyadır? Proqramın hansı versiyası quraşdırılıb, artefaktı kim imzalayıb və təşkilat pis buraxılışı xəbərlərdə oxumadan əvvəl necə öyrənir? Cavablar fərqli sahibləri olan fərqli sənədlərə aiddir və heç bir sahib digərinin yerinə cavab verə bilməz.

İdarə olunan park üçün proqram inventarı ikinci sualı ümumiyyətlə cavablandırıla bilən edən nəzarətdir. O olmadan hər açıqlama son tarixi olan arxeologiya layihəsinə çevrilir.

Darvaza auditoriyanı daraldır. Bütövlük isə auditoriyanın əhəmiyyətli olub-olmadığını həll edir.