Порт VPN трапіў пад заўвагу эталона? Праверце абсяг кантролю

Ваш сканер пазначае порт VPN, тыкет пераказвае гэта як публічны слухач, а далейшая спрэчка ідзе пра тое, ці рэальная гэтая экспазіцыя. Вынік рэдка кажа тое, што меркавае чытач. Ён цытуе эталонны кантроль з фіксаваным абсягам, і нумар порта — толькі адзін уваход у гэты абсяг.

Прачытайце кантроль, перш чым абараняць порт. Вынік, які чытаецца як прысуд, звычайна з’яўляецца прэдыкатам, ужыты да аднаго рэсурсу.

Што насамрэч цытуе радок выніку

Кожны эталонны вынік нясе чатыры рэчы, якія варта раздзяляць: дакумент і рэвізію, адкуль ён узяты, рэсурс, які ацэньваўся, прэдыкат, які выклікаў вынік, і пакрыццё, якога аўдыт фактычна дасягнуў. Каманды звычайна цытуюць толькі рэсурс — групу бяспекі, сеткавы ACL ці хост — і потым спрачаюцца пра порт. Менавіта прэдыкат вырашае, ці ваш слухач наогул быў у абсягу. Без яго вы спрачаецеся пра лік замест правіла.

Дакументацыя Amazon Security Hub трымае гэтае раздзяленне бачным без PDF за платным доступам:старонка кантроляў EC2 пералічвае праверкі груп бяспекі для неабмежаванага доступу на партах 22 і 3389 і разглядае сеткавыя ACL як іншы рэсурс з уласнымі ўмовамі. Тыя ж адміністрацыйныя парты, іншы аб’ект, іншы тэст. Менавіта такую дэталёвасць атрымлівае ў спадчыну вынік.

aws ec2 describe-security-groups --group-ids sg-0d1f8a2c4b6e9f3a1 --output json
aws ec2 describe-network-acls --filters Name=entry.port-range.from,Values=22 --output table

Аддзяліце публічны слухач ад адміністрацыйнага доступу

Слухач VPN, які прымае UDP 1194 з інтэрнэту, і служба SSH, даступная толькі пасля допуску, — розныя шляхі экспазіцыі. Праверка, якая ахоплівае першы, можа нічога не казаць пра другі, а праверка другога можа ігнараваць першы. Поспех на адным не з’яўляецца сцвярджэннем пра другі, наколькі б падобна яны ні гучалі на нарадзе.

Разглядайце кожны шлях як асобны радок у аглядзе.

Затым праверце, што дазваляе сам шлюз. Прыняцце тунеля не тое самае, што выдача адміністрацыйных правоў на шлюзе, і ні адно з гэтага не роўнае доступу да сервера за ім. Падзяліце пытанне на тое, хто можа падключыцца, хто можа адміністраваць і чаго можа дасягнуць тунель. Гэтыя тры адказы паходзяць з розных сістэм і звычайна зліваюцца ў адно сказ, з якім ніхто не можа нічога зрабіць.

Менавіта рэсурс вырашае, ці порт наогул у абсягу

Правіла групы бяспекі, запіс ACL падсеткі і правіла фаеруола хоста могуць дапускаць трафік, але толькі адно з іх можа быць аб’ектам, які ацэньвае кантроль. Эфектыўны дазвол азначае спалучэнне паралельных груп, абодвух сямействаў адрасоў і любога правіла адмовы перад імі. Порт, які не праходзіць праверку на ўзроўні групы, можа заставацца недасяжным, а порт, які яе праходзіць, можа быць заблакаваны глыбей.

Вось дзе перанос правіл іншага асяроддзя ідзе не так. Сеткавыя ACL не захоўваюць стану і ацэньваюцца па парадку; групы бяспекі захоўваюць стан і толькі дазваляюць. Мадэль правіл, пазычаная ў аднаго, не апісвае другога, і яе пераклад дае ўпэўнены адказ пра няправільны аб’ект.

Запішыце рашэнне, каб наступны аўдыт ім скарыстаўся

Калі абсяг сапраўды неадназначны, запішыце рэвізію кантролю, ідэнтыфікатар рэсурсу, прэдыкат у цытаваным выглядзе і доказы, якія яго развязалі. Уключыце, што вы выключылі і чаму. Менавіта гэты запіс дазваляе другому рэцэнзенту прыйсці да таго ж высновы, не перачытваючы ўвесь эталон, і гэта адзінае, што перажывае змену супрацоўнікаў.

Нататка «порт VPN правераны» гарантуе, што спрэчка вернецца ў наступным квартале. Называйце замест гэтага асобу, якая ацэньвала, рэвізію і доказы.