Ένα τείχος προστασίας ανάμεσα σε θύρες δεν είναι όριο κεντρικού υπολογιστή

Ο ιστότοπος απαντά στην 443, το VPN απαντά στην 1194, το τείχος προστασίας επιτρέπει ακριβώς αυτές τις δύο, και η ανασκόπηση περνά. Τίποτα σε αυτή την ακολουθία δεν ρώτησε τι μπορεί να διαβάσει ο εργαζόμενος ιστού ή ποια αρχεία μπορεί να ξαναγράψει. Ένας παραβιασμένος εργαζόμενος δεν χρειάζεται ανοιχτή θύρα αν μπορεί να φτάσει σε υποδοχή ελέγχου ή σε κατάλογο ρυθμίσεων με δικαίωμα εγγραφής. Το όριο είναι η εξουσία, και οι ακροατές είναι μόνο το μέρος που φαίνεται εύκολα.

Ένα ξεχωριστό όνομα υπηρεσίας είναι ετικέτα· μια ξεχωριστή ταυτότητα είναι ιδιότητα ασφαλείας.

Μετρήστε την εξουσία του εργαζόμενου, όχι τις θύρες

Ξεκινήστε από τον χρήστη εκτέλεσης, τις ομάδες του, τις δυνατότητές του και την όψη του συστήματος αρχείων. Λογαριασμός υπηρεσίας που ανήκει τυχαία σε ομάδα VPN μπορεί να διαβάσει υλικό κλειδιού χωρίς καμία ανοιχτή θύρα. Οι προσαρτήσεις με δικαίωμα εγγραφής είναι το άλλο μισό: οι μεταφορτώσεις και οι προσωρινές μνήμες πρέπει να βρίσκονται μακριά από αρχεία πολιτικής και μυστικά, και ένας περιττά κοινόχρηστος κατάλογος με δικαίωμα εγγραφής ακυρώνει την τακτική ονομασία. Ελέγξτε τη διεργασία που θα εκτελούσε τη λειτουργία, γιατί ένας προνομιούχος γονέας και μη προνομιούχοι εργαζόμενοι δεν μοιράζονται μία εξουσία.

Το ότι ένα κλειδί VPN είναι αναγνώσιμο κατά την εκκίνηση του δαίμονα δεν σημαίνει ότι το χρειάζεται ο εργαζόμενος ιστού. Διαχωρίστε την ανάγνωση που κάνει ο δαίμονας από την πρόσβαση που δίνεται στην εφαρμογή.

Υποδοχές που δίνουν περισσότερα απ' ό,τι δείχνουν

Μερικά τελικά σημεία είναι διοικητικά API ντυμένα ως ροή μετρικών. Η διεπαφή διαχείρισης του VPN μπορεί να αλλάξει συνεδρίες, να αποσυνδέσει πελάτες και να διαβάσει κατάσταση. Η υποδοχή εκτέλεσης κοντέινερ είναι ακόμη ευρύτερη: η πρόσβαση σε αυτήν είναι στην πράξη έλεγχος του κεντρικού υπολογιστή, πολύ πέρα από ό,τι χρειάζεται μια εφαρμογή ιστού. Καμία από τις δύο δεν ανήκει στο σύνολο προσαρτήσεων μιας συνηθισμένης εφαρμογής, και καμία δεν εμφανίζεται όταν μετράτε θύρες που ακούν.

Το δέσιμο ενός διοικητικού ακροατή σε τοπική διεύθυνση είναι αρχή, όχι πλήρης περιορισμός, γιατί κάθε διαδρομή εισόδου σε αυτή τη διεύθυνση εξακολουθεί να έχει σημασία. Να επιτρέπετε μόνο τις προβλεπόμενες πηγές και διεπαφές.

Τα κοντέινερ μοιράζονται έναν πυρήνα

Τα κοντέινερ προσθέτουν όρια διεργασίας, συστήματος αρχείων και δικτύου, και μοιράζονται έναν πυρήνα με τον κεντρικό υπολογιστή. Αυτό κάνει καθοριστικές τις επιλογές δυνατοτήτων, τις προσαρτήσεις του κεντρικού υπολογιστή και την πρόσβαση στον δαίμονα: η προσάρτηση μυστικών του κεντρικού υπολογιστή ή η παροχή προνομιούχου ελέγχου εκτέλεσης σβήνει το όριο που υποδηλώνει η ετικέτα του κοντέινερ. Τα ξεχωριστά VM δίνουν πράγματι ξεχωριστούς πυρήνες φιλοξενουμένων, ενώ ο hypervisor, οι διοικητικές ταυτότητες, η αποθήκευση και τα αντίγραφα ασφαλείας παραμένουν κοινά. Διαλέξτε το όριο του οποίου η ρύθμιση και οι ενημερώσεις έχουν ονομασμένο ιδιοκτήτη.

Μια πιο περίπλοκη διάταξη που κανείς δεν συντηρεί είναι χειρότερη από μια απλή που πραγματικά ελέγχεται.

Ελέγξτε την άρνηση και μετά την υπηρεσία

Χρησιμοποιήστε εγκεκριμένους ελέγχους στο πραγματικό πλαίσιο του εργαζόμενου για να επιβεβαιώσετε ότι δεν μπορεί να αλλάξει πολιτική VPN, να διαβάσει περιττά μυστικά ή να αγγίξει τη διεπαφή διαχείρισης. Μια επιτυχημένη ανάγνωση ως διαχειριστής δεν ελέγχει τίποτα σχετικά με αυτή την άρνηση. Στη συνέχεια επαληθεύστε τον ιστότοπο, μια συνηθισμένη επιτρεπόμενη λειτουργία VPN και τι συμβαίνει με την καθεμία σε επανεκκίνηση. Διατηρήστε μια διαδρομή ανάκτησης που δεν εξαρτάται από την επισκευή του VPN, ώστε ένα λάθος να παραμένει ανακτήσιμο.

Και οι δύο ρόλοι εξακολουθούν να μοιράζονται CPU, μνήμη, χωρητικότητα ανόδου και συμβάντα συντήρησης. Αυτοί οι κοινόχρηστοι πόροι ανήκουν στο σχέδιο ακόμη και όταν το όριο εξουσίας είναι καθαρό.

Καταγράψτε τι μπορεί να κάνει κάθε διεργασία, τι αποτυγχάνει αν σταματήσει και ποιο όριο παραμένει κοινό. Το πλήθος θυρών δεν είναι αυτή η καταγραφή.