Θύρα VPN σημασμένη από σημείο αναφοράς; Ελέγξτε το εύρος του ελέγχου

Ο σαρωτής σας σημαίνει τη θύρα VPN, το δελτίο το παραφράζει ως δημόσιο ακροατή και η διαφωνία που ακολουθεί αφορά το αν η έκθεση είναι πραγματική. Το εύρημα σπάνια λέει αυτό που υποθέτει ο αναγνώστης. Παραθέτει έναν έλεγχο σημείου αναφοράς με σταθερό εύρος, και ο αριθμός θύρας είναι μόνο μία είσοδος σε αυτό το εύρος.

Διαβάστε τον έλεγχο πριν υπερασπιστείτε τη θύρα. Ένα εύρημα που διαβάζεται σαν ετυμηγορία είναι συνήθως ένα κατηγόρημα που εφαρμόζεται σε έναν πόρο.

Τι παραθέτει στην πραγματικότητα η γραμμή του ευρήματος

Κάθε εύρημα σημείου αναφοράς φέρει τέσσερα πράγματα που αξίζει να διαχωριστούν: το έγγραφο και την αναθεώρηση από τα οποία προήλθε, τον πόρο που αξιολογήθηκε, το κατηγόρημα που ενεργοποίησε το αποτέλεσμα και την κάλυψη που πέτυχε στην πραγματικότητα ο έλεγχος. Οι ομάδες συνήθως παραθέτουν μόνο τον πόρο — μια ομάδα ασφαλείας ή ένα ACL δικτύου ή έναν κεντρικό υπολογιστή — και μετά διαφωνούν για τη θύρα. Το κατηγόρημα αποφασίζει αν ο ακροατής σας ήταν καν στο εύρος. Χωρίς αυτό, συζητάτε έναν αριθμό αντί για έναν κανόνα.

Η τεκμηρίωση του Amazon Security Hub κρατά αυτόν τον διαχωρισμό ορατό χωρίς PDF πίσω από πληρωμή:η σελίδα ελέγχων EC2 απαριθμεί ελέγχους ομάδων ασφαλείας για απεριόριστη πρόσβαση στις θύρες 22 και 3389 και αντιμετωπίζει τα ACL δικτύου ως διαφορετικό πόρο με δικές του συνθήκες. Ίδιες θύρες διαχείρισης, διαφορετικό αντικείμενο, διαφορετική δοκιμή. Αυτή είναι η λεπτομέρεια που κληρονομεί ένα εύρημα.

aws ec2 describe-security-groups --group-ids sg-0d1f8a2c4b6e9f3a1 --output json
aws ec2 describe-network-acls --filters Name=entry.port-range.from,Values=22 --output table

Διαχωρίστε τον δημόσιο ακροατή από τη διαχειριστική πρόσβαση

Ένας ακροατής VPN που δέχεται UDP 1194 από το διαδίκτυο και μια υπηρεσία SSH προσβάσιμη μόνο μετά από έγκριση είναι διαφορετικές διαδρομές έκθεσης. Ο έλεγχος που καλύπτει την πρώτη μπορεί να μη λέει τίποτα για τη δεύτερη, και ο έλεγχος που καλύπτει τη δεύτερη μπορεί να αγνοεί την πρώτη. Ένα επιτυχές αποτέλεσμα στη μία δεν είναι δήλωση για την άλλη, όσο παρόμοιες κι αν ακούγονται οι δύο σε μια συνάντηση κατάστασης.

Αντιμετωπίστε κάθε διαδρομή ως δική της γραμμή στην ανασκόπηση.

Στη συνέχεια επαληθεύστε τι επιτρέπει η ίδια η πύλη. Το να δεχτείτε ένα τούνελ δεν είναι το ίδιο με το να παραχωρήσετε διαχειριστικά δικαιώματα στην πύλη, και κανένα από τα δύο δεν ισούται με το να φτάσετε έναν διακομιστή πίσω της. Χωρίστε το ερώτημα σε ποιος μπορεί να συνδεθεί, ποιος μπορεί να διαχειριστεί και τι μπορεί να φτάσει το τούνελ. Αυτές οι τρεις απαντήσεις προέρχονται από διαφορετικά συστήματα και συχνά συγχωνεύονται σε μία πρόταση με την οποία κανείς δεν μπορεί να ενεργήσει.

Ο πόρος αποφασίζει αν η θύρα είναι καν στο εύρος

Ένας κανόνας ομάδας ασφαλείας, μια καταχώριση ACL υποδικτύου και ένας κανόνας τείχους προστασίας κεντρικού υπολογιστή μπορούν όλοι να επιτρέπουν κίνηση, αλλά μόνο ένας από αυτούς μπορεί να είναι το αντικείμενο που αξιολογεί ο έλεγχος. Η αποτελεσματική άδεια σημαίνει συνδυασμό παράλληλων ομάδων, και των δύο οικογενειών διευθύνσεων και κάθε κανόνα απόρριψης μπροστά τους. Μια θύρα που αποτυγχάνει σε έλεγχο επιπέδου ομάδας μπορεί να είναι ακόμη απρόσιτη, και μια θύρα που τον περνά μπορεί να είναι ακόμη αποκλεισμένη πιο βαθιά.

Εδώ πάει στραβά η μεταφύτευση κανόνων από άλλο περιβάλλον. Τα ACL δικτύου είναι άνευ κατάστασης και αξιολογούνται με σειρά· οι ομάδες ασφαλείας διατηρούν κατάσταση και μόνο επιτρέπουν. Ένα μοντέλο κανόνων δανεισμένο από το ένα δεν περιγράφει το άλλο, και η μετάφρασή του παράγει μια σίγουρη απάντηση για το λάθος αντικείμενο.

Καταγράψτε την απόφαση ώστε ο επόμενος έλεγχος να την επαναχρησιμοποιήσει

Όταν το εύρος είναι πραγματικά αμφίσημο, γράψτε την αναθεώρηση του ελέγχου, το αναγνωριστικό του πόρου, το κατηγόρημα όπως παρατέθηκε και τα στοιχεία που το έλυσαν. Συμπεριλάβετε τι αποκλείσατε και γιατί. Αυτό το αρχείο επιτρέπει σε έναν δεύτερο αναθεωρητή να φτάσει στο ίδιο συμπέρασμα χωρίς να ξαναδιαβάσει ολόκληρο το σημείο αναφοράς, και είναι το μόνο που επιβιώνει από την εναλλαγή προσωπικού.

Μια σημείωση που λέει «ελέγχθηκε η θύρα VPN» εγγυάται ότι η διαφωνία θα επιστρέψει το επόμενο τρίμηνο. Ονομάστε αντί αυτού τον αξιολογητή, την αναθεώρηση και τα στοιχεία.