Порт на VPN, маркиран от тестов стандарт? Проверете обхвата на контролата

Скенерът ви маркира порта на VPN, тикетът перифразира това като публичен слушател и следващият спор е дали експозицията е реална. Констатацията рядко казва това, което читателят предполага. Тя цитира контрола от тестов стандарт с фиксиран обхват, а номерът на порта е само един вход в този обхват.

Прочетете контролата, преди да защитавате порта. Констатация, която се чете като присъда, обикновено е предикат, приложен към един ресурс.

Какво всъщност цитира редът на констатацията

Всяка констатация от тестов стандарт носи четири неща, които си струва да се разделят: документът и ревизията, от които идва, ресурсът, който е оценен, предикатът, който е задействал резултата, и покритието, което одитът действително е постигнал. Екипите обикновено цитират само ресурса — група за сигурност, мрежов ACL или хост — и после спорят за порта. Предикатът решава дали слушателят ви изобщо е бил в обхвата. Без него обсъждате число вместо правило.

Документацията на Amazon Security Hub запазва това разделение видимо без PDF зад платена стена:страницата с контроли за EC2 изброява проверки на групи за сигурност за неограничен достъп на портове 22 и 3389 и третира мрежовите ACL като различен ресурс със собствени условия. Същите административни портове, различен обект, различен тест. Това е детайлността, която констатацията наследява.

aws ec2 describe-security-groups --group-ids sg-0d1f8a2c4b6e9f3a1 --output json
aws ec2 describe-network-acls --filters Name=entry.port-range.from,Values=22 --output table

Отделете публичния слушател от административния достъп

VPN слушател, приемащ UDP 1194 от интернет, и SSH услуга, достъпна само след допускане, са различни пътища на експозиция. Проверката, която покрива първия, може да не казва нищо за втория, а проверката за втория може да игнорира първия. Успешен резултат при единия не е твърдение за другия, колкото и подобно да звучат двата в статус среща.

Третирайте всеки път като отделен ред в прегледа.

След това проверете какво разрешава самият шлюз. Приемането на тунел не е същото като предоставяне на административни права върху шлюза и нито едно от двете не е равно на достигане до сървър зад него. Разделете въпроса на кой може да се свързва, кой може да администрира и какво може да достигне тунелът. Тези три отговора идват от различни системи и рутинно се сливат в едно изречение, с което никой не може да действа.

Ресурсът решава дали портът изобщо е в обхвата

Правило на група за сигурност, запис в ACL на подмрежа и правило на хост защитна стена могат да разрешават трафик, но само едно от тях може да е обектът, който контролата оценява. Ефективното разрешение означава комбиниране на паралелни групи, двете семейства адреси и всяко правило за отказ пред тях. Порт, който се проваля на проверка на ниво група, може да остане недостъпен, а порт, който я преминава, може да е блокиран по-нататък.

Тук трансплантирането на правила от друга среда се обърква. Мрежовите ACL са без запазване на състояние и се оценяват по ред; групите за сигурност запазват състояние и само разрешават. Модел на правила, заимстван от едното, не описва другото и преводът му дава уверен отговор за грешния обект.

Запишете решението, за да го използва следващият одит

Когато обхватът е наистина двусмислен, запишете ревизията на контролата, идентификатора на ресурса, предиката в цитирания вид и доказателството, което го е решило. Включете какво сте изключили и защо. Този запис позволява на втори рецензент да стигне до същото заключение, без да препрочита целия стандарт, и е единственото, което оцелява при смяна на персонала.

Бележка „портът на VPN е прегледан“ гарантира, че спорът ще се върне следващото тримесечие. Вместо това назовете оценителя, ревизията и доказателствата.