Файрвол паміж партамі — не мяжа хоста

Вэб-сайт адказвае на 443, VPN адказвае на 1194, файрвол прапускае менавіта гэтыя два, і прагляд праходзіць. Нішто ў гэтай паслядоўнасці не пыталася, што вэб-працоўны можа чытаць і якія файлы ён можа перапісаць. Скампанаванаму працоўнаму не патрэбны адкрыты парт, калі ён можа дасягнуць кантрольнага сокета або каталога канфігурацыі, даступнага для запісу. Мяжа — гэта паўнамоцтвы, а слухачы — толькі тая частка, якую лёгка ўбачыць.

Асобная назва службы — гэта этыкетка; асобная асоба — гэта ўласцівасць бяспекі.

Лічыце паўнамоцтвы працоўнага, а не парты

Пачніце з карыстальніка часу выканання, яго груп, магчымасцей і выгляду файлавай сістэмы. Уліковы запіс службы, які выпадкова належыць да групы VPN, можа чытаць ключавы матэрыял без адкрыцця любога парта. Запісвальныя мантаванні — другая палова: загрузкі і кэшы павінны знаходзіцца далёка ад файлаў палітыкі і сакрэтаў, а непатрэбна агульны каталог для запісу зводзіць на нішто акуратную назву. Праверце працэс, які выконваў бы аперацыю, бо прывілеяваны бацька і непрывілеяваныя працоўныя не падзяляюць адны паўнамоцтвы.

Тое, што ключ VPN чытаецца пры запуску дэмана, не азначае, што вэб-працоўнаму ён патрэбны. Аддзяліце чытанне, якое робіць дэман, ад доступу, які атрымлівае праграма.

Сокеты, якія даюць больш, чым выглядае

Некаторыя канчатковыя пункты — гэта адміністрацыйныя API ў касцюме струменя метрык. Інтэрфейс кіравання VPN можа змяняць сесіі, адключаць кліентаў і чытаць стан. Сокет асяроддзя выканання кантэйнераў яшчэ шырэйшы: доступ да яго фактычна ёсць кантроль над хостам, значна большы за патрэбы вэб-праграмы. Ні адзін з іх не належыць да набору мантаванняў звычайнай праграмы, і ні адзін не з'яўляецца, калі лічыць парты, што слухаюць.

Прывязванне адміністрацыйнага слухача да лакальнага адрасу — гэта пачатак, а не поўнае абмежаванне, бо кожны шлях уваходу на гэты адрас усё яшчэ мае значэнне. Дазвольце толькі прызначаныя крыніцы і інтэрфейсы.

Кантэйнеры дзеляць адно ядро

Кантэйнеры дадаюць межы для працэсаў, файлавай сістэмы і сеткі, і яны дзеляць адно ядро з хостам. Гэта робіць выбар магчымасцей, мантаванні хоста і доступ да дэмана вырашальнымі: мантаванне сакрэтаў хоста або даванне прывілеяванага кантролю часу выканання сцірае мяжу, якую прапануе этыкетка кантэйнера. Асобныя VM сапраўды даюць асобныя ядры гасцей, але гіпервізар, адміністрацыйныя асобы, сховішча і рэзервовыя копіі застаюцца агульнымі. Выбірайце мяжу, чыя канфігурацыя і абнаўленні маюць названага ўладальніка.

Больш складаная ўстаноўка, якую ніхто не падтрымлівае, горш за простую, якая сапраўды праглядаецца.

Спачатку праверце адмову, потым службу

Выкарыстоўвайце ўхваленыя праверкі ў рэальным кантэксце працоўнага, каб пацвердзіць, што ён не можа змяніць палітыку VPN, прачытаць непатрэбныя сакрэты або дакрануцца да інтэрфейсу кіравання. Паспяховае чытанне ад імя адміністратара нічога не правярае наконт гэтай адмовы. Затым праверце вэб-сайт, звычайную дазволеную аперацыю VPN і што адбываецца з кожным пры перазапуску. Захоўвайце шлях аднаўлення, які не залежыць ад раманту VPN, каб памылка заставалася выпраўляльнай.

Абедзве ролі ўсё яшчэ дзеляць CPU, памяць, прапускную здольнасць узыходнага канала і падзеі абслугоўвання. Гэтыя агульныя рэсурсы належаць да плана, нават калі мяжа паўнамоцтваў чыстая.

Запішыце, што можа рабіць кожны працэс, што ламаецца, калі ён спыняецца, і якая мяжа застаецца агульнай. Колькасць партоў не з'яўляецца такім запісам.