VPN port označen mjerilom? Provjerite obim kontrole

Vaš skener označi VPN port, tiket to preformuliše kao javni slušalac, a rasprava koja slijedi odnosi se na to je li izloženost stvarna. Nalaz rijetko kaže ono što čitalac pretpostavlja. On citira kontrolu mjerila s fiksnim obimom, a broj porta je samo jedan ulaz u taj obim.

Pročitajte kontrolu prije nego što branite port. Nalaz koji se čita kao presuda obično je predikat primijenjen na jedan resurs.

Šta red nalaza zapravo citira

Svaki nalaz mjerila nosi četiri stvari koje vrijedi razdvojiti: dokument i reviziju iz kojih dolazi, resurs koji je procijenjen, predikat koji je pokrenuo rezultat i pokrivenost koju je revizija stvarno postigla. Timovi obično citiraju samo resurs — sigurnosnu grupu ili mrežni ACL ili host — a zatim raspravljaju o portu. Predikat odlučuje je li vaš slušalac uopće bio u obimu. Bez njega raspravljate o broju umjesto o pravilu.

Amazonova dokumentacija Security Huba održava to razdvajanje vidljivim bez PDF-a iza paywalla:stranica s EC2 kontrolama navodi provjere sigurnosnih grupa za neograničen pristup na portovima 22 i 3389 i tretira mrežne ACL-ove kao drugi resurs s vlastitim uslovima. Isti administrativni portovi, drugi objekat, drugi test. To je granularnost koju nalaz nasljeđuje.

aws ec2 describe-security-groups --group-ids sg-0d1f8a2c4b6e9f3a1 --output json
aws ec2 describe-network-acls --filters Name=entry.port-range.from,Values=22 --output table

Odvojite javni slušalac od administrativnog pristupa

VPN slušalac koji prihvata UDP 1194 s interneta i SSH usluga dostupna tek nakon odobrenja različiti su putevi izloženosti. Provjera koja pokriva prvi možda ne govori ništa o drugom, a provjera koja pokriva drugi možda ignorira prvi. Uspješan rezultat na jednom nije tvrdnja o drugom, koliko god slično zvučali na statusnom sastanku.

Tretirajte svaki put kao sopstveni red u pregledu.

Zatim provjerite šta sam gateway odobrava. Prihvatanje tunela nije isto kao davanje administrativnih prava na gatewayu, a ni jedno od toga nije jednako dosezanju servera iza njega. Podijelite pitanje na to ko se može povezati, ko može administrirati i šta tunel može dosegnuti. Ta tri odgovora dolaze iz različitih sistema i rutinski se spajaju u jednu rečenicu prema kojoj niko ne može postupiti.

Resurs odlučuje je li port uopće u obimu

Pravilo sigurnosne grupe, unos u podmrežnom ACL-u i pravilo host firewall-a mogu svi propuštati saobraćaj, ali samo jedno od njih može biti objekat koji kontrola procjenjuje. Efektivno dopuštenje znači kombiniranje paralelnih grupa, obje adresne porodice i svakog pravila zabrane ispred njih. Port koji padne na provjeri na nivou grupe i dalje može biti nedostupan, a port koji je prođe i dalje može biti blokiran dublje.

Tu presađivanje pravila iz drugog okruženja pođe naopako. Mrežni ACL-ovi su bez stanja i procjenjuju se po redu; sigurnosne grupe čuvaju stanje i samo dopuštaju. Model pravila posuđen iz jednog ne opisuje drugi, a njegovo prevođenje daje samouvjeren odgovor o pogrešnom objektu.

Zapišite odluku da je sljedeća revizija ponovno upotrijebi

Kada je obim zaista dvosmislen, zapišite reviziju kontrole, identifikator resursa, predikat kako je citiran i dokaz koji ga je razriješio. Uključite šta ste isključili i zašto. Taj zapis omogućava drugom recenzentu da dođe do istog zaključka bez ponovnog čitanja cijelog mjerila, i jedino je što preživi promjenu osoblja.

Bilješka „VPN port pregledan“ garantuje da će se rasprava vratiti sljedećeg kvartala. Umjesto toga navedite procjenjivača, reviziju i dokaz.