VPN-port flagget af en målestok? Tjek kontrollens omfang

Din scanner flagger VPN-porten, billetten omskriver det til en offentlig listener, og argumentet der følger handler om, hvorvidt eksponeringen er reel. Fundet siger sjældent det, læseren antager. Det citerer en målestokskontrol med et fast omfang, og portnummeret er kun ét input til det omfang.

Læs kontrollen, før du forsvarer porten. Et fund, der læses som en dom, er normalt et prædikat anvendt på én ressource.

Hvad fundrækken faktisk citerer

Hvert målestoksfund bærer fire ting, der er værd at skille ad: dokumentet og revisionen, det stammer fra, ressourcen der blev vurderet, prædikatet der udløste resultatet, og den dækning revisionen faktisk opnåede. Teams citerer normalt kun ressourcen — en sikkerhedsgruppe eller en netværks-ACL eller en vært — og så diskuterer de porten. Prædikatet er det, der afgør, om din listener overhovedet var i omfang. Uden det debatterer du et tal i stedet for en regel.

Amazons Security Hub-dokumentation holder den adskillelse synlig uden en PDF bag betalingsmur:EC2-kontrolsiden lister sikkerhedsgruppekontroller for ubegrænset adgang på portene 22 og 3389 og behandler netværks-ACL'er som en anden ressource med egne betingelser. Samme administrationsporte, forskelligt objekt, forskellig test. Det er den granularitet, et fund arver.

aws ec2 describe-security-groups --group-ids sg-0d1f8a2c4b6e9f3a1 --output json
aws ec2 describe-network-acls --filters Name=entry.port-range.from,Values=22 --output table

Adskil den offentlige listener fra administrativ adgang

En VPN-listener, der accepterer UDP 1194 fra internettet, og en SSH-tjeneste, der først kan nås efter adgang, er forskellige eksponeringsveje. Kontrollen, der dækker den første, siger måske intet om den anden, og kontrollen, der dækker den anden, ignorerer måske den første. Et bestået resultat på den ene er ikke en udtalelse om den anden, hvor ens de to end lyder på et statusmøde.

Behandl hver vej som sin egen række i gennemgangen.

Bekræft derefter, hvad gatewayen selv tillader. At acceptere en tunnel er ikke det samme som at give administrative rettigheder på gatewayen, og ingen af delene svarer til at nå en server bag den. Del spørgsmålet op i, hvem der kan forbinde, hvem der kan administrere, og hvad tunnelen kan nå. De tre svar kommer fra forskellige systemer og bliver rutinemæssigt smeltet sammen til én sætning, som ingen kan handle på.

Ressourcen afgør, om porten overhovedet er i omfang

En sikkerhedsgrupperegel, en undernet-ACL-post og en værtsfirewallregel kan alle tillade trafik, men kun én af dem er måske det objekt, kontrollen vurderer. Effektiv tilladelse betyder at kombinere parallelle grupper, begge adressefamilier og enhver afvisningsregel foran dem. En port, der fejler en kontrol på gruppeniveau, kan stadig være uopnåelig, og en port, der består den, kan stadig være blokeret længere inde.

Det er her, det går galt, når man transplanterer et andet miljøs regler. Netværks-ACL'er er tilstandsløse og vurderes i rækkefølge; sikkerhedsgrupper er tilstandsfulde og tillader kun. En regelmodel lånt fra den ene beskriver ikke den anden, og at oversætte den giver et selvsikkert svar om det forkerte objekt.

Skriv beslutningen ned, så den næste revision genbruger den

Når omfanget er reelt tvetydigt, skriv kontrolrevisionen, ressourceidentifikatoren, prædikatet som citeret og beviset, der afklarede det, ned. Medtag, hvad du udelukkede og hvorfor. Den registrering er det, der lader en anden bedømmer nå samme konklusion uden at genlæse hele målestokken, og det er det eneste, der overlever udskiftning af medarbejdere.

En note med «VPN-port gennemgået» garanterer, at diskussionen vender tilbage næste kvartal. Nævn i stedet bedømmeren, revisionen og beviset.