VPN risk hesabatı görməzdən gəlindi? Qərarı yazın, balı yox

Şiddət sıralaması ilə bitən risk qeydi menecerə hökm verir, heç bir tədbir vermir. Buna görə də onların çoxu «təşəkkür, qeyd etdim» və başqa heç nə ilə qayıdır. Təsdiqlənən qeydlər eyni formanı paylaşır: bir dar, yoxlanıla bilən iddia, qiyməti olan iki adlandırılmış seçim və müəyyən tarixə qədər cavab verməli olan bir şəxs. Aşağıdakı hər şey bildiyinizi şişirtmədən bu formanı yaratmaqdan bəhs edir.

Bal heç kimin vermədiyi suala cavab verir

Ehtimalla təsirin vurulması arifmetikası tapıntıları bir-birinə nisbətdə sıralayan bir rəqəm verir. Bu, direktora nəyi imzalayacağını demir və şlüz barədə qərar yerinə çarpan barədə mübahisəyə dəvət edir. Mən iki onluq rəqəmli məruz qalma göstəricisinin bütün iclası udduğunu, əsl sualın — bu rübdə yeniləmənin maliyyələşdirilib-maliyyələşdirilməməsinin — isə soruşulmadığını görmüşəm.

Bu sahədə yalnız bir neçə real qərar var. Yeniləməni maliyyələşdirin, müəyyən tarixə qədər məhdud məruz qalmanı qəbul edin və ya xidmətə çata bilənlərin sayını azaldın. Hər birinin fərqli məsulu və fərqli xərci var və heç biri «riski 40 faiz azalt» deyil.

Şiddətin şişirdilməsi problemi daha da pis edir. Hər tapıntı kritik olduqda sıralama fərqləndirməni dayandırır və oxucu qalan yeganə siqnala — ən uca səslə şikayət edənə — üz tutur. Buraxılışın dəstəkdən çıxdığını, bunun dəstəkdən çıxdığı ikinci rüb olduğunu və müəyyən işçi qrupunun ondan asılı olduğunu deyən qeyd qırmızı nişandan qat-qat fəaldır.

Qeyri-müəyyənlik digər uğursuzluqdur. «VPN təhlükəsiz deyil» həll oluna bilməz, çünki hansı yerləşdirmə, hansı versiya və kimin nəyə çata bildiyi göstərilmir. Oxucunun yoxlaya biləcəyi cümlə faydalı hesabatın ən kiçik vahididir.

İddianı kimsə yoxlaya bilənə qədər kiçilt

İddianı rəyə deyil, dərc olunmuş sərhədə bağla. İstehsalçı dəstəyindən çıxmaq, tələb olunan autentifikasiya addımının olmaması və ya onu görməməli olan şəbəkə seqmentindən əlçatanlıq — hamısı arxasında test olan iddialardır. Birincisi üçün test şlüzün özündə üç əmrdir:

openvpn --version | head -n 1
dpkg-query -W -f='${Version}\n' openvpn
openssl x509 -in /etc/openvpn/server.crt -noout -enddate

Versiya sətri ilə paket sorğusu adətən uyğun gəlir, uyğun gəlmədikdə isə ayrıca bildirilməli ikinci problem tapmısınız. Sertifikatın bitmə tarixi insanların müştərilər qoşulmağı dayandırana qədər yoxlamağı unutduğu sahədir və buraxılış sətri ilə eyni sübut əlavəsinə aiddir.

Hər çıxışın haradan və nə vaxt alındığını qeyd edin. «Şlüz gw1, çərşənbə axşamı toplanıb» deyən qeydi skeptik yenidən işə sala bilər; maraqlı sətrə kəsilmiş ekran şəklini isə yox. Fayl maşınınızdan çıxmazdan əvvəl açarları, özəl ünvanları və hesab adlarını silin.

Qeydi adlandırılmış seçimlər arasında seçim kimi yazın

Qərar qeydi qısadır, çünki bir iş görür. Bu, mənim istifadə etdiyim formadır — uzaqdan giriş buraxılışı dəstəkdən çıxmış uydurma orta ölçülü bir təşkilat üçün doldurulub:

Ask: approve one of two upgrade paths for remote access before 30 June.
Claim: gw1 runs a release that left vendor support in January.
Evidence: version output and vendor notice, attached, collected 14 March.
Option A: upgrade in place, one maintenance window, staff on the current client build.
Option B: replace the gateway, two windows, client reinstall for 180 staff.
Cost of waiting: no security fixes for a service 180 staff use daily.
Owner: platform team. Decision needed from: IT director, by 28 March.

Hər sətir öz yerini qazanır. Sorğu bir cümlədir və tarix ehtiva edir. İddia yoxlanıla biləndir. B seçimi ona görə var ki, A seçimi formal rəsmilik deyil, həqiqi seçim olsun və o, müştərinin yenidən quraşdırılmasını göstərir, çünki insanların qiymətləndirmədiyi xərc budur. Gözləməyin xərci ehtimalı deyil, nəticəni təsvir edir.

Qeydin etməməli olduğu şey, dayaq tapa bilmədiyiniz nəticəni içinə keçirməkdir. Heç bir komprometasiya nümayiş etdirilməyibsə, bunu bir sətirdə deyin, çünki sonradan şişirtmə aşkar edən oxucu növbəti üç qeydinizə də etibar etməyəcək.

Riskin qəbulunun nələri ehtiva etməli olduğu

Qəbul qərarın olmaması deyil və sükut da deyil. Cavab bir müddət məruz qalma ilə yaşamaqdırsa, qeydə üç əlavə lazımdır: bitmə tarixi, kimsənin həqiqətən yerinə yetirdiyi monitorinq addımı və tarix gəldikdə sualı yenidən açan adlandırılmış şəxs.

Aralıq nəzarət eyni rəftara ehtiyac duyur. Xidməti daha kiçik qrupla məhdudlaşdırmaq məruz qalmanı yalnız məhdudiyyət haradasa tətbiq olunanda və kimsə siyahını saxlayanda azaldır. Gecəlik paket işini səssizcə dayandıran blok nəzarət deyil, daha yaxşı sənədləşdirilmiş bir kəsintidir.

Dəyişiklik məsulu ilə qərar məsulu fərqli insanlardırsa, onları ayrı saxlayın. Platforma komandası icra edir; direktor qəbul edir. Hər iki adı qeydə yazmaq ən geniş yayılmış tıxacı aradan qaldırır: heç vaxt görmədiyi bir şəxsi gözləyən yaxşı hazırlanmış plan.

Qeydi göndərməzdən əvvəl yerləşdirməyə qarşı yoxlayın

Birdən çox şlüzü olan təşkilatlarda iddialar pis köhnəlir. Başqa buraxılışdan bəhs edən forum mövzusundan və ya keçən ay yenidən qurulmuş hostdan kopyalanmış tapıntı iclasda etirazla qarşılaşacaq və qeydin qalanı da onunla gedəcək. Sübutları qeydin adını çəkdiyi hər hostda yenidən işə salın:

for h in gw1 gw2; do
  ssh "$h" 'openvpn --version | head -n 1; systemctl is-active openvpn@server'
done

İki host fərqli fikirdədirsə, qeyd indi qarışıq donanma barədədir, bu isə fərqli və adətən daha inandırıcı tapıntıdır. Trafikə xidmət etdiyini düşündüyünüz hostda xidmət qeyri-aktivdirsə, dayanın və qeyd hər hansı yerə getməzdən əvvəl inventarı düzəldin.

Sonra çıxışı əlavə edin, qərar tarixini mövzu sətrinə qoyun və onu müzakirə edəcək qrupa deyil, «bəli» deyə bilən şəxsə göndərin. Cavab «indi deyil» olaraq gəlirsə, «indi»yə çevrildiyi tarixi soruşun və həmin tarixi qeydin növbəti versiyasına yazın.