বেঞ্চমার্কে VPN পোর্ট চিহ্নিত? আগে নিয়ন্ত্রণের পরিধি দেখুন

আপনার স্ক্যানার VPN পোর্ট চিহ্নিত করে, টিকিটটি সেটিকে পাবলিক লিসেনার হিসেবে ব্যাখ্যা করে, আর পরের বিতর্ক হয় এক্সপোজারটি সত্যিই আছে কি না নিয়ে। ফলাফলটি পাঠক যা ধরে নেন তা খুব কমই বলে। এটি নির্দিষ্ট পরিধির একটি বেঞ্চমার্ক নিয়ন্ত্রণ উদ্ধৃত করে, আর পোর্ট নম্বর সেই পরিধির কেবল একটি ইনপুট।

পোর্ট রক্ষা করার আগে নিয়ন্ত্রণটি পড়ুন। রায়ের মতো পড়া ফলাফল সাধারণত একটি রিসোর্সে প্রয়োগ করা প্রিডিকেট।

ফলাফলের সারি আসলে কী উদ্ধৃত করে

প্রতিটি বেঞ্চমার্ক ফলাফল চারটি জিনিস বহন করে যা আলাদা করা দরকার: যে নথি ও সংশোধন থেকে এটি এসেছে, যে রিসোর্স মূল্যায়ন করা হয়েছে, যে প্রিডিকেট ফলাফলটি ঘটিয়েছে, এবং অডিট আসলে যে কভারেজ অর্জন করেছে। দলগুলো সাধারণত কেবল রিসোর্সটি উদ্ধৃত করে — একটি সিকিউরিটি গ্রুপ বা একটি নেটওয়ার্ক ACL বা একটি হোস্ট — এবং তারপর পোর্ট নিয়ে তর্ক করে। প্রিডিকেটই ঠিক করে আপনার লিসেনার আদৌ পরিধিতে ছিল কি না। এটি ছাড়া আপনি নিয়মের বদলে একটি সংখ্যা নিয়ে তর্ক করছেন।

Amazon-এর Security Hub ডকুমেন্টেশন পেওয়ালের পেছনের PDF ছাড়াই সেই বিভাজন দৃশ্যমান রাখে:EC2 নিয়ন্ত্রণ পৃষ্ঠা পোর্ট 22 ও 3389-এ সীমাহীন অ্যাক্সেসের জন্য সিকিউরিটি গ্রুপ যাচাই তালিকাভুক্ত করে এবং নেটওয়ার্ক ACL-কে নিজস্ব শর্তসহ ভিন্ন রিসোর্স হিসেবে গণ্য করে। একই প্রশাসনিক পোর্ট, ভিন্ন বস্তু, ভিন্ন পরীক্ষা। ফলাফল যে সূক্ষ্মতা উত্তরাধিকারসূত্রে পায় তা এটিই।

aws ec2 describe-security-groups --group-ids sg-0d1f8a2c4b6e9f3a1 --output json
aws ec2 describe-network-acls --filters Name=entry.port-range.from,Values=22 --output table

পাবলিক লিসেনারকে প্রশাসনিক অ্যাক্সেস থেকে আলাদা করুন

ইন্টারনেট থেকে UDP 1194 গ্রহণ করা একটি VPN লিসেনার আর প্রবেশানুমতির পরেই পৌঁছানো যায় এমন একটি SSH সেবা ভিন্ন এক্সপোজার পথ। প্রথমটি যে যাচাই কভার করে সেটি দ্বিতীয়টি সম্পর্কে কিছুই নাও বলতে পারে, আর দ্বিতীয়টি কভার করা যাচাই প্রথমটিকে উপেক্ষা করতে পারে। একটিতে সফল ফলাফল অন্যটি সম্পর্কে বিবৃতি নয়, স্টেটাস মিটিংয়ে দুটো যতই একরকম শোনাক।

পর্যালোচনায় প্রতিটি পথকে আলাদা সারি হিসেবে ধরুন।

তারপর গেটওয়ে নিজে কী অনুমোদন করে তা যাচাই করুন। টানেল গ্রহণ করা গেটওয়েতে প্রশাসনিক অধিকার দেওয়ার সমান নয়, আর এর কোনোটিই এর পেছনের সার্ভারে পৌঁছানোর সমান নয়। প্রশ্নটিকে ভাগ করুন: কে সংযোগ করতে পারে, কে প্রশাসন করতে পারে, এবং টানেল কী পর্যন্ত পৌঁছাতে পারে। সেই তিনটি উত্তর ভিন্ন সিস্টেম থেকে আসে এবং নিয়মিতভাবে এক বাক্যে মিলিয়ে দেওয়া হয় যা নিয়ে কেউ কিছু করতে পারে না।

রিসোর্সই ঠিক করে পোর্টটি আদৌ পরিধিতে আছে কি না

একটি সিকিউরিটি গ্রুপ নিয়ম, একটি সাবনেট ACL এন্ট্রি এবং একটি হোস্ট ফায়ারওয়াল নিয়ম সবই ট্র্যাফিক অনুমোদন করতে পারে, তবু তাদের একটিই নিয়ন্ত্রণ যে বস্তুটি মূল্যায়ন করে সেটি হতে পারে। কার্যকর অনুমোদন মানে সমান্তরাল গ্রুপ, উভয় ঠিকানা পরিবার এবং তাদের সামনে থাকা যেকোনো অস্বীকৃতি নিয়ম একত্র করা। গ্রুপ-স্তরের যাচাইয়ে ব্যর্থ পোর্ট তবুও পৌঁছানোর অযোগ্য থাকতে পারে, আর সেটি উত্তীর্ণ পোর্ট আরও ভেতরে ব্লক থাকতে পারে।

এখানেই অন্য পরিবেশের নিয়ম প্রতিস্থাপন ভুল হয়। নেটওয়ার্ক ACL স্টেটলেস এবং ক্রমানুসারে মূল্যায়িত হয়; সিকিউরিটি গ্রুপ স্টেটফুল এবং কেবল অনুমোদন করে। একটির কাছ থেকে ধার করা নিয়মের মডেল অন্যটিকে বর্ণনা করে না, আর তা অনুবাদ করলে ভুল বস্তু সম্পর্কে আত্মবিশ্বাসী উত্তর আসে।

সিদ্ধান্তটি লিখে রাখুন যাতে পরের অডিট তা ব্যবহার করে

যখন পরিধি সত্যিই অস্পষ্ট, তখন নিয়ন্ত্রণের সংশোধন, রিসোর্স শনাক্তকারী, উদ্ধৃত প্রিডিকেট এবং যে প্রমাণ এটি নির্ধারণ করেছে তা লিখে রাখুন। আপনি কী বাদ দিয়েছেন এবং কেন তা অন্তর্ভুক্ত করুন। এই রেকর্ডই দ্বিতীয় পর্যালোচককে পুরো বেঞ্চমার্ক আবার না পড়ে একই সিদ্ধান্তে পৌঁছাতে দেয়, আর কর্মী বদল ছাড়িয়ে টিকে থাকে কেবল এটিই।

«VPN পোর্ট পর্যালোচনা হয়েছে» লেখা একটি নোট নিশ্চিত করে যে পরের প্রান্তিকে বিতর্ক ফিরে আসবে। বরং মূল্যায়নকারী, সংশোধন ও প্রমাণের নাম লিখুন।