Port VPN označený srovnávacím testem? Zkontrolujte rozsah kontroly

Váš skener označí port VPN, tiket to přeformuluje jako veřejný listener a následná argumentace je o tom, zda je expozice skutečná. Nález málokdy říká to, co čtenář předpokládá. Cituje kontrolu srovnávacího testu s pevným rozsahem a číslo portu je jen jeden vstup do tohoto rozsahu.

Přečtěte si kontrolu dřív, než budete port obhajovat. Nález, který se čte jako verdikt, je obvykle predikát aplikovaný na jeden prostředek.

Co řádek nálezu skutečně cituje

Každý nález srovnávacího testu nese čtyři věci, které stojí za to oddělit: dokument a revizi, ze kterých pochází, prostředek, který byl posouzen, predikát, který výsledek spustil, a pokrytí, kterého audit skutečně dosáhl. Týmy obvykle citují jen prostředek — bezpečnostní skupinu, síťový ACL nebo hostitele — a pak se přou o port. Právě predikát rozhoduje, zda váš listener byl vůbec v rozsahu. Bez něj diskutujete o čísle místo o pravidle.

Dokumentace Amazon Security Hub drží toto oddělení viditelné i bez placeného PDF:stránka kontrol EC2 uvádí kontroly bezpečnostních skupin pro neomezený přístup na portech 22 a 3389 a síťové ACL bere jako jiný prostředek s vlastními podmínkami. Stejné administrativní porty, jiný objekt, jiný test. To je granularita, kterou nález dědí.

aws ec2 describe-security-groups --group-ids sg-0d1f8a2c4b6e9f3a1 --output json
aws ec2 describe-network-acls --filters Name=entry.port-range.from,Values=22 --output table

Oddělte veřejný listener od administrativního přístupu

Listener VPN přijímající UDP 1194 z internetu a služba SSH dostupná až po povolení jsou různé cesty expozice. Kontrola, která pokrývá první, nemusí o druhém říkat nic, a kontrola pokrývající druhou může první ignorovat. Úspěšný výsledek u jednoho není tvrzení o druhém, ať už oba znějí na stavové poradě jakkoli podobně.

Berte každou cestu jako vlastní řádek v přehledu.

Potom ověřte, co sám gateway povoluje. Přijetí tunelu není totéž jako udělení administrativních práv na gatewayi a ani jedno se nerovná dosažení serveru za ním. Rozdělte otázku na to, kdo se může připojit, kdo může spravovat a čeho může tunel dosáhnout. Tyto tři odpovědi pocházejí z různých systémů a rutinně se slévají do jedné věty, podle které nikdo nemůže jednat.

Prostředek rozhoduje, zda je port vůbec v rozsahu

Pravidlo bezpečnostní skupiny, záznam v ACL podsítě a pravidlo hostitelského firewallu mohou všechny propouštět provoz, ale jen jedno z nich může být objektem, který kontrola vyhodnocuje. Efektivní povolení znamená zkombinovat paralelní skupiny, obě rodiny adres a jakékoli pravidlo odmítnutí před nimi. Port, který neprojde kontrolou na úrovni skupiny, může být stále nedostupný, a port, který jí projde, může být stále blokován hlouběji.

Tady se přesazování pravidel z jiného prostředí zvrtne. Síťové ACL jsou bezstavové a vyhodnocují se v pořadí; bezpečnostní skupiny jsou stavové a pouze povolují. Model pravidel vypůjčený z jednoho nepopisuje druhé a jeho překlad dává sebevědomou odpověď o špatném objektu.

Zapište rozhodnutí, aby je další audit znovu použil

Když je rozsah skutečně nejednoznačný, zapište revizi kontroly, identifikátor prostředku, predikát tak, jak byl citován, a důkaz, který to vyřešil. Uveďte, co jste vyloučili a proč. Právě tento záznam umožňuje druhému recenzentovi dojít ke stejnému závěru bez opětovného čtení celého srovnávacího testu a je jediné, co přežije fluktuaci zaměstnanců.

Poznámka „port VPN zkontrolován“ zaručuje, že se argument vrátí příští čtvrtletí. Jmenujte místo toho hodnotitele, revizi a důkaz.