Un tallafoc entre ports no és una frontera d'amfitrió

El lloc web respon al 443, la VPN respon al 1194, el tallafoc permet exactament aquests dos i la revisió passa. Res d'aquesta seqüència no va preguntar què pot llegir el treballador web ni quins fitxers pot reescriure. Un treballador compromès no necessita un port obert si pot arribar a un sòcol de control o a un directori de configuració on es pugui escriure. La frontera és l'autoritat, i els oients només són la part fàcil de veure.

Un nom de servei separat és una etiqueta; una identitat separada és una propietat de seguretat.

Compteu l'autoritat del treballador, no els ports

Comenceu per l'usuari d'execució, els seus grups, les seves capacitats i la seva vista del sistema de fitxers. Un compte de servei que pertany casualment a un grup de VPN pot llegir material de claus sense cap port obert. Els muntatges on es pot escriure són l'altra meitat: les càrregues i les memòries cau haurien de quedar lluny dels fitxers de política i dels secrets, i un directori compartit on es pot escriure innecessàriament fa inútil un nomenament ordenat. Comproveu el procés que faria l'operació, perquè un pare privilegiat i treballadors no privilegiats no comparteixen una sola autoritat.

Que una clau de VPN es pugui llegir durant l'arrencada del dimoni no vol dir que el treballador web la necessiti. Separeu la lectura que fa el dimoni de l'accés que es concedeix a l'aplicació.

Sòcols que atorguen més del que semblen

Alguns punts finals són API administratives disfressades de flux de mètriques. La interfície de gestió de la VPN pot canviar sessions, desconnectar clients i llegir l'estat. El sòcol del temps d'execució de contenidors és encara més ampli: l'accés a ell és efectivament control de l'amfitrió, molt més enllà del que necessita una aplicació web. Cap dels dos no pertany al conjunt de muntatges d'una aplicació corrent, i cap dels dos no apareix quan compteu els ports que escolten.

Lligar un oient de gestió a una adreça local és un començament, no una restricció completa, perquè cada camí d'entrada a aquesta adreça encara importa. Permeteu només les fonts i interfícies previstes.

Els contenidors comparteixen un nucli

Els contenidors afegeixen fronteres de procés, sistema de fitxers i xarxa, i comparteixen un nucli amb l'amfitrió. Això fa decisives les eleccions de capacitats, els muntatges de l'amfitrió i l'accés al dimoni: muntar secrets de l'amfitrió o concedir control privilegiat del temps d'execució esborra la frontera que suggereix l'etiqueta del contenidor. Les VM separades sí que donen nuclis convidats separats, mentre que l'hipervisor, les identitats administratives, l'emmagatzematge i les còpies de seguretat continuen compartits. Trieu la frontera la configuració i les actualitzacions de la qual tinguin un propietari amb nom.

Un arranjament més elaborat que ningú no manté és pitjor que un de simple que realment es revisa.

Proveu la denegació i després el servei

Feu servir comprovacions aprovades en el context real del treballador per confirmar que no pot modificar la política de VPN, llegir secrets innecessaris ni tocar la interfície de gestió. Una lectura correcta com a administrador no prova res sobre aquesta denegació. Després verifiqueu el lloc web, una operació de VPN corrent i permesa, i què passa amb cadascuna en reiniciar. Preserveu un camí de recuperació que no depengui de reparar la VPN, perquè un error segueixi sent recuperable.

Tots dos papers encara comparteixen CPU, memòria, capacitat d'enllaç ascendent i esdeveniments de manteniment. Aquests recursos compartits pertanyen al pla fins i tot quan la frontera d'autoritat és neta.

Registreu què pot fer cada procés, què falla si s'atura i quina frontera continua compartida. El recompte de ports no és aquest registre.