Un cortafuegos entre puertos no es una frontera de host

El sitio web responde en el 443, la VPN responde en el 1194, el cortafuegos permite exactamente esos dos y la revisión pasa. Nada en esa secuencia preguntó qué puede leer el trabajador web ni qué archivos puede reescribir. Un trabajador comprometido no necesita un puerto abierto si puede alcanzar un socket de control o un directorio de configuración escribible. La frontera es la autoridad, y los oyentes son solo la parte fácil de ver.

Un nombre de servicio separado es una etiqueta; una identidad separada es una propiedad de seguridad.

Cuente la autoridad del trabajador, no los puertos

Empiece por el usuario de ejecución, sus grupos, sus capacidades y su vista del sistema de archivos. Una cuenta de servicio que pertenece por casualidad a un grupo de VPN puede leer material de claves sin que haya ningún puerto abierto. Los montajes escribibles son la otra mitad: las cargas y las cachés deben quedar lejos de los archivos de política y de los secretos, y un directorio compartido escribible innecesariamente echa por tierra un nombrado ordenado. Compruebe el proceso que realizaría la operación, porque un padre privilegiado y trabajadores sin privilegios no comparten una sola autoridad.

Que una clave de VPN sea legible durante el arranque del demonio no significa que el trabajador web la necesite. Separe la lectura que hace el demonio del acceso que se concede a la aplicación.

Sockets que conceden más de lo que parecen

Algunos puntos finales son API administrativas disfrazadas de flujo de métricas. La interfaz de gestión de la VPN puede cambiar sesiones, desconectar clientes y leer el estado. El socket del tiempo de ejecución de contenedores es aún más amplio: el acceso a él es efectivamente control del host, mucho más allá de lo que necesita una aplicación web. Ninguno de los dos pertenece al conjunto de montajes de una aplicación corriente, y ninguno aparece cuando cuenta los puertos que escuchan.

Vincular un oyente de gestión a una dirección local es un comienzo, no una restricción completa, porque cada ruta de entrada a esa dirección sigue importando. Permita solo las fuentes e interfaces previstas.

Los contenedores comparten un núcleo

Los contenedores añaden fronteras de proceso, sistema de archivos y red, y comparten un núcleo con el host. Eso hace decisivas las elecciones de capacidades, los montajes del host y el acceso al demonio: montar secretos del host o conceder control privilegiado del tiempo de ejecución borra la frontera que sugiere la etiqueta del contenedor. Las VM separadas sí dan núcleos invitados separados, mientras que el hipervisor, las identidades administrativas, el almacenamiento y las copias de seguridad siguen compartidos. Elija la frontera cuya configuración y actualizaciones tengan un propietario con nombre.

Un arreglo más elaborado que nadie mantiene es peor que uno simple que realmente se revisa.

Pruebe la denegación y luego el servicio

Use comprobaciones aprobadas en el contexto real del trabajador para confirmar que no puede modificar la política de VPN, leer secretos innecesarios ni tocar la interfaz de gestión. Una lectura correcta como administrador no prueba nada sobre esa denegación. Después verifique el sitio web, una operación de VPN corriente y permitida, y qué ocurre con cada una al reiniciar. Conserve una ruta de recuperación que no dependa de reparar la VPN, para que un error siga siendo recuperable.

Ambos papeles siguen compartiendo CPU, memoria, capacidad de enlace ascendente y eventos de mantenimiento. Esos recursos compartidos pertenecen al plan incluso cuando la frontera de autoridad está limpia.

Registre qué puede hacer cada proceso, qué falla si se detiene y qué frontera sigue compartida. El recuento de puertos no es ese registro.