Privatni port ne svjedoči o softveru iza njega

To je razuman instinkt: ako samo VPN stiže do SSH slušača, izloženost je mala i problem je riješen. Izloženost ipak nije isto što i cjelovitost. Prva polovina je tačna, a druga iz nje ne slijedi. Dostupnost kontroliše ko smije pokušati vezu; cjelovitost softvera kontroliše šta će slušač uraditi kada je dobije. Kapija sužava publiku i ne govori ništa o kodu iza nje.

Privatni port su manja vrata, a ne druga brava, i ta razlika odlučuje šta ćete sljedeće provjeriti.

Dvije kontrole, dva pitanja

Mrežno ograničenje smanjuje izloženost. Ono ostavlja dopuštene korisnike, i svakog kompromitovanog odobrenog klijenta, u stanju da dosegnu pogođenu uslugu. Ispravljanje paketa vraća softver, a ne sužava ni preširoko mrežno odobrenje. Svaka kontrola radi svoj posao i svaka može biti ispravna dok druga nedostaje. Zajedničko pregledanje njih je način na koji tim uvjeri sebe da jedna pokriva oboje, a to je upravo greška o kojoj je ovaj tekst.

VPN krajnja tačka je također softver i nosi istu obavezu. Dodavanje u put unosi sopstvenu obavezu održavanja i ne uklanja odgovornost za lanac snabdijevanja za sve iza nje.

Šta je objava o XZ-u zapravo pokazala

Objava o XZ/liblzma iz marta 2024. opisala je zadnja vrata koja su pod pogođenim uslovima mogla dovesti do kompromitovanja SSH servera. Bio je to problem cjelovitosti softvera koliko i problem izloženosti, i nije bio dokaz da svaka Linux instalacija nosi ranjivi build. Obim dolazi iz pogođenih verzija i distribucija koje su ih isporučile, a ne iz imena porodice operativnog sistema.

Ta razlika je razlika između reakcije na incident i glasine, i vrijedi biti pedantan u vezi s tim.

Zatvaranje porta nije oporavak

Ako se kompromitacija možda već dogodila, mijenjanje dostupnosti nije oporavak. Zadnja vrata koja su se izvršila već su imala svoju priliku; firewall pravilo ne putuje unazad kroz vrijeme. Slijedite odobreni proces za incidente za host i za sve izložene pristupne podatke, i sačuvajte dokaze potrebne da se utvrdi šta se zaista izvršilo. Ponovna izgradnja sa poznatih ispravnih medija obično je dio tog razgovora.

Koristite i trenutni provjereni savjet i proces sanacije distribucije, i čitajte spisak pogođenih verzija umjesto naslova. Kopiranje istorijske komande za vraćanje verzije u nepovezano okruženje je način na koji popravka postaje nova izloženost.

Pregledajte oboje, odvojeno

Postavite dva pitanja njihovim vlastitim riječima. Ko može dosegnuti slušača i je li ta publika tačno ona kojoj je usluga namijenjena? Koja verzija softvera je instalirana, ko je potpisao artefakt i kako organizacija sazna za loše izdanje prije nego što to pročita u vijestima? Odgovori pripadaju različitim dokumentima s različitim vlasnicima, i nijedan vlasnik ne može odgovoriti za drugog.

Za upravljanu flotu, inventar softvera je kontrola koja uopšte čini drugo pitanje odgovorivim. Bez njega svaka objava postaje arheološki projekat s rokom.

Kapija sužava publiku. Cjelovitost odlučuje da li je publika važna.