Частен порт не удостоверява софтуера зад него

Това е разумно усещане: ако само VPN стига до SSH слушателя, излагането е малко и проблемът е решен. Излагането обаче не означава цялост. Първата половина е вярна, а от втората не следва. Достъпността контролира кой може да опита връзка; целостта на софтуера контролира какво ще направи слушателят, когато я получи. Портата стеснява аудиторията и не казва нищо за кода зад нея.

Частният порт е по-малка врата, а не друга ключалка, и това разграничение решава какво проверявате след това.

Две контроли, два въпроса

Мрежовото ограничение намалява излагането. То оставя допуснатите потребители и всеки компрометиран одобрен клиент способни да достигнат засегнатата услуга. Коригирането на пакета възстановява софтуера и също не стеснява прекалено широко мрежово разрешение. Всяка контрола върши своята работа и всяка може да е правилна, докато другата липсва. Разглеждането им заедно е начинът, по който екипът се убеждава, че едната покрива и двете, и това е конкретната грешка, за която е тази статия.

Крайната точка на VPN също е софтуер и носи същото задължение. Добавянето ѝ към пътя въвежда собствено задължение за поддръжка и не премахва отговорността за веригата на доставки за нищо зад нея.

Какво всъщност показа разкритието за XZ

Разкритието за XZ/liblzma от март 2024 г. описва задна врата, която при засегнати условия може да доведе до компрометиране на SSH сървър. Това беше проблем с целостта на софтуера в същата степен, в която и проблем с излагането, и не беше доказателство, че всяка инсталация на Linux носи уязвимата сборка. Обхватът идва от засегнатите версии и дистрибуциите, които са ги доставили, а не от името на семейството операционни системи.

Това разграничение е разликата между реакция при инцидент и слух и заслужава да бъдем педантични по него.

Затварянето на порта не е възстановяване

Ако компрометирането може вече да е станало, промяната на достъпността не е възстановяване. Задна врата, която се е изпълнила, вече е имала своя шанс; правило на защитна стена не пътува назад във времето. Следвайте одобрения процес за инциденти за хоста и за всякакви изложени идентификационни данни и запазете доказателствата, нужни да се установи какво действително се е изпълнило. Преизграждането от проверени носители обикновено е част от този разговор.

Използвайте също текущия проверен съвет и процес за отстраняване на дистрибуцията и четете списъка със засегнати версии, а не заглавието. Копирането на историческа команда за понижаване в несвързана среда е начинът, по който поправката се превръща в ново излагане.

Прегледайте и двете, поотделно

Задайте двата въпроса със собствените им думи. Кой може да достигне слушателя и точно ли тази аудитория е тази, за която е предназначена услугата? Коя версия на софтуера е инсталирана, кой е подписал артефакта и как организацията научава за лошо издание, преди да го прочете в новините? Отговорите принадлежат на различни документи с различни собственици и никой собственик не може да отговори вместо другия.

За управляван парк инвентарът на софтуера е контролата, която изобщо прави втория въпрос отговорим. Без него всяко разкритие се превръща в археологически проект със срок.

Портата стеснява аудиторията. Цялостта решава дали аудиторията има значение.